Il 20 agosto la CISA ha inserito nel catalogo KEV due vulnerabilità critiche di TrueConf Server, la piattaforma di messaggistica e videoconferenza aziendale che, a differenza di Zoom o Teams, gira interamente all'interno della rete dell'organizzazione. Le agenzie federali statunitensi hanno tempo fino al 3 settembre per applicare le patch. Entrambe le falle sono già sfruttate in attacchi reali, e il modo in cui vengono usate è la parte più interessante della storia.

Le due falle

CVE-2026-72529 è un'assenza di autenticazione. Secondo l'avviso del produttore, un attaccante remoto non autenticato che si connette al server sulla porta 4307/TCP può invocare una funzione critica non documentata ed eseguire uno script arbitrario. Nessuna credenziale, nessuna interazione dell'utente: basta raggiungere la porta.

CVE-2026-72530 è una fuga dalla sandbox. TrueConf esegue il codice in un ambiente isolato, ma una gestione impropria della generazione del codice consente a chi ha già ottenuto esecuzione dentro quell'ambiente di uscirne ed eseguire comandi sul sistema operativo sottostante. È classificata ad alta complessità di attacco, ma in catena con la prima diventa il secondo anello di una compromissione completa.

Messe insieme, le due vulnerabilità portano da "porta TCP raggiungibile" a "root sull'host" senza mai chiedere una password. Le versioni corrette sono la 5.3.9, la 5.4.9 e la 5.5.5.

Come vengono sfruttate: non il server, ma il client

Qui la vicenda smette di essere un normale bollettino di patch. Secondo Kaspersky, il gruppo hacktivista Head Mare sfrutta le due falle almeno da luglio 2026, e l'obiettivo non è il server in sé: una volta ottenuto il controllo, gli attaccanti sostituiscono i file di installazione del client distribuiti dal server con versioni trojanizzate, che installano una backdoor sui computer dei partecipanti alle riunioni. Le campagne osservate hanno colpito organizzazioni russe nei settori trasporti, energia, IT, elettronica e sviluppo software.

Non è la prima volta. Ad aprile 2026 Check Point Research aveva documentato lo sfruttamento zero-day di un'altra falla di TrueConf (CVE-2026-3502) in una campagna battezzata "Operation True Chaos", attribuita ad attori cinesi, con la stessa identica meccanica: aggiornamenti client contraffatti.

Due gruppi indipendenti, con motivazioni e origini diverse, sono arrivati alla stessa conclusione operativa. Non è una coincidenza: è la dimostrazione che il valore di un server di collaborazione on-premise, per un attaccante, non sta nei dati che contiene, ma nel fatto che distribuisce software eseguibile a decine o centinaia di endpoint con la piena fiducia degli utenti.

Cosa significa per le aziende italiane

TrueConf ha una diffusione limitata in Italia, ed è onesto dirlo: la maggior parte dei lettori non ha un TrueConf Server da patchare. Il motivo per cui questa notizia merita attenzione è un altro, e riguarda un'abitudine mentale molto diffusa.

"On-premise" e "sovrano" non sono proprietà di sicurezza. Negli ultimi anni la spinta verso soluzioni self-hosted per la collaborazione — per ragioni di sovranità del dato, di costo o di conformità — ha portato in molte reti italiane server che nessuno tratta davvero come infrastruttura critica: istanze Jitsi o BigBlueButton, Nextcloud Talk, Zimbra, Mattermost, oltre ai classici server di distribuzione software (WSUS, SCCM/Intune on-prem, repository interni). Portare un servizio dentro casa non elimina il rischio: trasferisce all'organizzazione l'onere del patching, che il fornitore cloud svolgeva in silenzio. Se quell'onere non viene assunto esplicitamente, con un responsabile e una finestra di intervento, il risultato netto è un peggioramento della postura, non un miglioramento.

Ogni server che distribuisce eseguibili è una supply chain interna. Siamo abituati a pensare alla catena di fornitura software come a qualcosa che accade fuori — npm, un fornitore di gestionale, un MSP. Ma un server di videoconferenza che consegna l'installer ai dipendenti, un WSUS che consegna pacchetti, un file server con la cartella "software aziendale" hanno esattamente la stessa funzione: sono punti singoli di distribuzione di codice fidato. Compromesso quello, la firma digitale è l'unica cosa che si frappone tra l'attaccante e cento postazioni. Vale la pena chiedersi, per ciascuno di questi sistemi, se la firma c'è davvero e se qualcuno la verifica.

Le porte di gestione non documentate sono superficie che non sapete di avere. La 4307/TCP di TrueConf non è la porta della videoconferenza: è un canale interno che nella maggior parte delle installazioni nessuno ha mai censito, e quindi nessuno ha mai filtrato. Il pattern si ripete costantemente: la falla non è nel servizio esposto per scelta, ma nella funzione accessoria che ascolta accanto. Un inventario delle porte in ascolto sui server interni — non solo di quelli in DMZ — è uno degli esercizi con il miglior rapporto tra sforzo e ritorno.

Il contesto normativo

Per un soggetto in perimetro NIS2 (D.lgs. 138/2024), lo scenario Head Mare tocca due obblighi distinti. L'articolo 24 richiede misure di gestione del rischio che includono esplicitamente la sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi e la gestione delle vulnerabilità: un server con una CVE nel catalogo KEV, non aggiornato per settimane, è difficile da difendere in sede di verifica.

Ma il punto più delicato è a valle. Se il vostro server distribuisce un client trojanizzato a partner, clienti o consulenti esterni, l'organizzazione smette di essere vittima e diventa vettore: si apre la questione della notifica dell'incidente ad ACN (pre-notifica 24 ore, notifica 72 ore, relazione finale entro un mese) e, se le postazioni compromesse trattano dati personali, quella della notifica al Garante entro 72 ore ai sensi dell'art. 33 GDPR, oltre alla comunicazione agli interessati quando il rischio è elevato.

Cosa fare subito

Se avete TrueConf Server:

  • Aggiornare alla 5.3.9, 5.4.9 o 5.5.5, senza attendere la finestra di manutenzione ordinaria: entrambe le CVE sono sfruttate attivamente.
  • Bloccare la porta 4307/TCP da qualsiasi rete che non sia quella di gestione, e verificare che il server non sia raggiungibile da internet.
  • Verificare l'integrità degli installer client pubblicati dal server, confrontando hash e firma con quelli ufficiali del produttore. È il passaggio che distingue un server "patchato" da un server "bonificato".
  • Cercare indicatori a ritroso fino a luglio 2026: file modificati nelle directory di distribuzione, processi anomali, connessioni in uscita verso destinazioni non note, nuovi account amministrativi.
  • Ruotare le credenziali presenti sul server e quelle usate dal servizio.

Se non avete TrueConf — cioè quasi tutti:

  • Elencare i sistemi interni che distribuiscono software agli endpoint e trattarli come asset critici, con patching prioritario e monitoraggio dedicato.
  • Verificare che i client scaricati dagli utenti siano firmati e che la verifica della firma sia realmente attiva sulle postazioni (AppLocker, WDAC o equivalente).
  • Censire le porte in ascolto sui server interni e filtrare tutto ciò che non ha una ragione documentata di essere raggiungibile.
  • Includere le piattaforme di collaboration self-hosted nel ciclo di vulnerability management, allo stesso titolo dei sistemi esposti: la percezione che "tanto è interno" è precisamente l'assunto che questi attacchi sfruttano.