TrueConf Server: CISA ordnet Sofort-Patch für zwei aktiv ausgenutzte Lücken an

Die US-Cybersicherheitsbehörde CISA hat am 20. August 2026 zwei kritische Schwachstellen im selbst gehosteten Videokonferenz- und Messaging-System TrueConf Server in ihren Known Exploited Vulnerabilities (KEV) Catalog aufgenommen. Damit müssen US-Bundesbehörden (FCEB) die Lücken bis zum 3. September 2026 schließen. Für Unternehmen, die TrueConf als lokal gehostete Alternative zu Zoom oder Microsoft Teams einsetzen, ist die Frist ein deutliches Warnsignal: Beide Lücken werden laut Kaspersky bereits seit Juli 2026 aktiv für Angriffe missbraucht.

Was ist TrueConf Server?

TrueConf Server ist eine On-Premises-Lösung für Videokonferenzen und Unternehmenskommunikation, die im Gegensatz zu Cloud-Diensten wie Zoom oder Microsoft Teams komplett innerhalb des eigenen Firmennetzwerks (LAN) betrieben wird. Das macht das Produkt vor allem für Organisationen interessant, die aus Datenschutz- oder Compliance-Gründen keine Kommunikationsdaten in die Cloud geben wollen. Genau diese On-Premises-Architektur bedeutet aber auch: Wird der Server kompromittiert, sitzt der Angreifer direkt im internen Netz statt in einer isolierten Cloud-Umgebung.

Die zwei CVEs im Detail

Beide Schwachstellen sind als kritisch eingestuft und lassen sich kombinieren, um vom unauthentifizierten Erstzugriff bis zur vollständigen Kontrolle über das zugrunde liegende Betriebssystem zu eskalieren.

Nach eigener Beschreibung des TrueConf-Sicherheitsteams kann ein entfernter, nicht authentifizierter Angreifer über Port 4307/TCP eine undokumentierte kritische Funktion aufrufen und darüber beliebige Skripte auf dem Server ausführen (CVE-2026-72529). Die zweite Lücke (CVE-2026-72530) erlaubt es einem Angreifer, der bereits Code innerhalb der isolierten TrueConf-Umgebung ausführen kann, aus dieser Sandbox auszubrechen und Befehle direkt auf dem Host-Betriebssystem auszuführen. In Kombination ergibt sich damit ein vollständiger Weg von "kein Zugriff" zu "Root auf dem Server".

Wer greift hier an?

CISA selbst hat zu den konkreten Angriffskampagnen keine Details veröffentlicht, doch das Sicherheitsunternehmen Kaspersky ordnet die aktive Ausnutzung der hacktivistischen Gruppe "Head Mare" zu. Laut Kaspersky ersetzt die Gruppe seit mindestens Juli 2026 legitime TrueConf-Client- Installer durch manipulierte Versionen, um Backdoor-Malware auszuliefern. Betroffen waren nach bisherigen Erkenntnissen vor allem russische Organisationen aus den Bereichen Transport, Energie, IT und Softwareentwicklung. Das ist nicht der erste TrueConf-Vorfall dieser Art: Bereits im April 2026 hatte Check Point Research eine separate TrueConf-Zero-Day-Lücke (CVE-2026-3502) dokumentiert, die im Rahmen der Kampagne "Operation True Chaos" von mutmaßlich chinesischen Akteuren über trojanisierte Client-Updates ausgenutzt wurde. Zwei unabhängige, aktiv ausgenutzte Angriffswellen innerhalb weniger Monate zeigen, dass TrueConf-Server aktuell ein bevorzugtes Ziel sind.

Was Admins jetzt prüfen sollten

1. Prüfen, ob im eigenen Netzwerk überhaupt TrueConf Server im Einsatz ist (auch Testinstallationen oder Alt-Systeme mitzählen).
2. Aktuelle TrueConf-Server-Version mit den Patch-Hinweisen im TrueConf-Sicherheitsbulletin abgleichen und umgehend aktualisieren.
3. Port 4307/TCP: prüfen, ob dieser Port aus dem Internet erreichbar ist. Ein TrueConf-Server sollte grundsätzlich nicht direkt am Internet hängen.
4. Firewall-Regeln so setzen, dass TrueConf-Dienste nur aus dem internen Netz oder über VPN erreichbar sind.
5. Client-Installer-Integrität prüfen: Nur Installer direkt vom eigenen TrueConf-Server oder der offiziellen TrueConf-Website beziehen, keine per E-Mail verschickten Installationsdateien ausführen.
6. Logs auf ungewöhnliche Zugriffe auf Port 4307/TCP der letzten Wochen durchsehen.
7. Bei Verdacht auf Kompromittierung: Server isolieren, Client-Installer-Hashes gegen offizielle Checksummen prüfen, IT-Sicherheitsdienstleister hinzuziehen.
8. Netzwerksegmentierung generell überdenken: On-Premises-Kommunikationssysteme sollten nie im selben flachen Netz wie Kernsysteme stehen.

Einordnung für kleine und mittlere Unternehmen

Für die meisten deutschen KMU-Admins ist TrueConf kein Standardprodukt wie Microsoft Teams oder Zoom, spielt aber gerade bei Unternehmen mit besonderen Datenschutzanforderungen (etwa Behörden, Kanzleien oder Firmen mit strengen internen Compliance-Vorgaben) eine reale Rolle. Der Fall zeigt exemplarisch ein grundsätzliches Problem selbst gehosteter Kommunikationssoftware: Man tauscht die Angriffsfläche eines Cloud-Anbieters gegen die eigene Update-Disziplin ein. Wer On-Premises-Systeme betreibt, muss Patch-Zyklen selbst im Blick behalten, denn niemand patcht automatisch für einen. Ein Known-Exploited- Vulnerabilities-Eintrag bei CISA ist dabei immer ein Signal: Diese Lücke wird nicht nur theoretisch diskutiert, sondern real für Angriffe genutzt.

Passende Anleitungen auf S-EDV

1. CISA KEV: Warum der Known Exploited Vulnerabilities Catalog für Admins Pflichtlektüre bleibt
2. Zero-Trust-Netzwerksegmentierung im KMU: VLANs, Firewall-Regeln und Mikrosegmentierung

Quellen

1. BleepingComputer: CISA orders feds to patch actively exploited TrueConf Server flaws
2. SecurityWeek: CISA Urges Immediate Patching of Exploited TrueConf Vulnerabilities
3. The Register: Homeland security cybercops say patch TrueConf if you're using it