TrueConf Server의 CVE-2026-72529 취약점이 KEV 카탈로그에 추가됐습니다. 이미 실제 공격에 악용되고 있고, 공격자가 화상회의 참가자까지 감염시키는 공급망 위협으로 번졌다는 사실을 공식적으로 확인한 셈입니다. 2026년 8월 20일 CISA가 실제 악용 증거에 근거해 KEV에 등재하면서 연방 민간 행정기관(FCEB)에는 8월 23일까지 완화 조치를 적용하고 BOD 26-04를 준수할 의무가 생겼습니다.
CVE-2026-72529이란: TrueConf Server 인증 누락 취약점과 4307/TCP 공격 경로
CVE-2026-72529는 TrueConf Server의 중요 기능 인증 누락(Missing Authentication for Critical Function) 취약점입니다. CWE-306으로 분류되며 CNA는 Kaspersky Labs입니다.
공격 메커니즘을 풀어 보면 이렇습니다. 4307/TCP 포트로 네트워크 접근이 가능한 원격 무인가 공격자가 문서화되지 않은 함수(undocumented function)를 호출하면 임의 스크립트를 TrueConf Server에서 실행할 수 있게 됩니다. 인증이 전혀 요구되지 않기 때문에, 포트를 외부에 노출한 모든 영향 버전 서버가 공격 대상이 됩니다.
영향을 받는 버전은 아래 표와 같습니다.
| 대상 버전 | 취약 범위 | 수정 버전 |
|---|---|---|
| 5.3 이전 전체 | 5.3 미만 모든 버전 | 5.3.9 |
| 5.3.X | 5.3.9 이전 | 5.3.9 |
| 5.4.X | 5.4.9 이전 | 5.4.9 |
| 5.5.X | 5.5.5 이전 | 5.5.5 |
CVSS v3.1 기준 9.8(CRITICAL), CVSS v4.0(CVSS-B) 기준 9.3(CRITICAL)으로 평가됩니다. Windows와 Linux 양쪽 환경의 TrueConf Server CPE에 해당되며, 5.2 이하 버전은 벤더 지원 문의가 필요합니다.
2026-08-20 KEV 추가가 의미하는 것: 실제 악용 증거와 FCEB 조치 기한
KEV 카탈로그 등재는 단순한 취약점 통보가 아닙니다. CISA는 2026년 8월 20일 발표에서 “실제 악용 증거(evidence of active exploitation)에 근거해” 두 취약점(CVE-2026-72529, CVE-2026-72530)을 KEV에 추가했다고 명시했습니다.
KEV 등재로 FCEB 기관에 부과된 의무는 네 가지입니다.
- 조치 기한: CVE-2026-72529는 2026-08-23, CVE-2026-72530은 2026-09-03까지 조치 완료.
- 요구 조치: 벤더 지침에 따른 완화 적용 및 CISA BOD 26-04 준수.
- 클라우드 서비스 해당 시: BOD 26-04 가이드라인을 따르거나, 완화 수단이 없으면 해당 제품 사용을 중단.
- 패치 전 침해 확인: BOD 26-04에는 패치를 적용하기 전에 공격자가 이미 시스템을 침입했는지 포렌식 점검을 거칠 것을 기대하는 기준도 들어 있습니다.
BOD 26-04는 FCEB에만 강제 적용되지만, CISA는 모든 조직이 위험 기반 취약점 관리 체계를 갖추고 KEV 카탈로그 취약점 조치를 우선화하라고 권고하고 있습니다.
Head Mare APT의 실제 공격 시나리오: 초기 침투부터 PhantomCore 유포까지
KEV 등재의 근거가 된 실제 공격을 수행한 주체는 Head Mare APT(핵티비스트 그룹)입니다. 공격 시퀀스를 순서대로 정리하면 이렇습니다.
- 초기 침투: CVE-2026-72529를 이용해 온프레미스 TrueConf Server에 무인가 접근.
- 격리 환경 탈출 및 웹셸 설치: CVE-2026-72530과 연계해
locale.php파일을 웹셸·백도어로 교체, OneDrive를 C2(Command & Control) 채널로 사용. - IT 인프라 정보 수집 및 DB 권한 확보: TrueConf 데이터베이스에 대한 권한 있는 접근 확보.
- 클라이언트 배포물 탈취:
trueconf_windows_client_x64.exe원본 파일을 PhantomCore 백도어가 포함된 감염된 버전으로 교체. - 회의 참가자 감염: 정상 회의에 참여한 사용자가 감염된 클라이언트 설치 패키지를 다운로드하면서 PhantomCore 악성코드에 감염되고, 시스템 전체 통제권이 공격자에게 넘어갑니다.
이 시나리오의 핵심은 공격이 서버 자체에서 멈추지 않고 회의에 참여한 모든 사용자로 확산된다는 점입니다.
패치는 이미 두 달 전: 2026-06-18 업데이트와 현 시점의 의미
TrueConf 벤더는 2026년 6월 18일 보안 업데이트를 공식 발표하며 5.3.9 / 5.4.9 / 5.5.5 버전에 CVE-2026-72529 수정 사항을 담았습니다. 무료 및 기업 버전 모두 무료 업데이트로 제공되며, “즉시 업그레이드할 것”을 권고했습니다.
패치 제공일(6월 18일)과 KEV 등재일(8월 20일) 사이에는 약 두 달의 간격이 있습니다. 이 기간 동안 업데이트를 미루고 있던 조직은 Head Mare APT의 표적이 될 수 있었고, 실제로 KEV 등재 시점까지도 영향 버전이 외부에 노출된 사례가 확인되었습니다.
Kaspersky ICS CERT는 2026년 8월 11일 자문 KLCERT-26-057에서 영향 제품을 Windows/Linux TrueConf Server의 5.3 미만 전체, 5.3.X 중 5.3.9 미만, 5.4.X 중 5.4.9 미만, 5.5.X 중 5.5.5 미만으로 명시하고, 5.3.9 / 5.4.9 / 5.5.5 업데이트를 1차 완화책으로 제시했습니다.
패치했더라도 남은 것: 운영 환경 점검 순서
패치 적용은 필요조건이지만 충분조건은 아닙니다. BOD 26-04가 패치 전 침해 여부 점검을 기대하는 이유이기도 합니다. Kaspersky ICS CERT가 권고하는 추가 조치와 실제 공격에서 확인된 악성 활동을 종합하면, 점검은 다음 순서로 진행하는 게 맞습니다.
- 백신 전체 점검: 서버와 클라이언트 모두 백신 소프트웨어로 전체 스캔.
- IoC 스캔: Kaspersky 위협 알림 ‘Head Mare APT group exploits vulnerabilities in TrueConf server to deliver PhantomCore malware’에 지정된 IoC(감지 지시자)를 기반으로 네트워크 로그·파일 시스템을 스캔.
- 웹셸·백도어 확인:
locale.php파일의 무결성 검증과 함께 예상치 못한 백도어 파일이 있는지 확인. - 클라이언트 설치 파일 무결성:
trueconf_windows_client_x64.exe등 클라이언트 배포 파일이 원본과 일치하는지 해시 비교. - TrueConf DB 접근 로그 분석: 비정상적인 권한 상승이나 외부 IP를 통한 DB 접근이 있었는지 검토.
- 침해 계정 비밀번호 변경: 영향받았을 가능성이 있는 모든 계정의 비밀번호 변경.
- 4307/TCP 포트 노출 최소화: 접근을 내부 네트워크 전용으로 제한하고, 불필요하게 외부에 열려 있는지 확인.
TrueConf 서버를 직접 운영하지 않아도 위험한 이유: 회의 참가자 경로의 공급망 위협
자사에 TrueConf Server를 구축하지 않은 조직이라고 이 위협에서 안전한 건 아닙니다. Kaspersky는 “자신이 TrueConf 서버를 운영하지 않더라도, 직원이 다른 조직이 호스트한 TrueConf 회의에 참여한 경우 침해될 수 있다”고 명시했습니다.
구체적 위험 경로는 이렇게 이어집니다.
- 직원이 온라인 회의 참여를 위해 비즈니스 파트너의 손상된 TrueConf Server에 접속
- 접속하면 감염된 클라이언트 설치 패키지를 내려받게 됨
- 설치 과정에서 PhantomCore 악성코드가 직원 단말에 잔류
- 해당 직원의 계정으로 내부 네트워크에 대한 lateral movement가 가능
이 부분은 협력사 화상회의 솔루션을 활용하는 IT 인프라 관리자에게 그대로 닿는 이야기입니다. 협력사 또는 외부 파트너가 TrueConf Server를 운영하는 경우, 해당 서버의 취약점 수정 여부와 클라이언트 배포 파일 무결성을 사전에 확인하는 프로세스가 필요합니다.
운영자를 위한 즉시 확인 체크리스트
KEV 추가 후 3일이라는 FCEB 기한만 봐도 상황의 긴박함을 짐작할 수 있습니다. 내부 TrueConf Server를 운영하거나 협력사 회의를 자주 이용한다면 다음을 즉시 확인하십시오.
- 현재 TrueConf Server 버전이 5.3.9 / 5.4.9 / 5.5.5 이상인지 확인 (아니면 즉시 업데이트).
- 4307/TCP가 외부 네트워크에 노출되어 있는지 네트워크 정책 검토.
- 최근 2개월(패치일 6월 18일 이후) TrueConf Server 접근 로그에서 4307/TCP 관련 비정상 호출 패턴 확인.
- 클라이언트 배포 파일 해시 원본 비교.
- 협력사가 TrueConf Server를 사용하는 경우, 해당 서버의 패치 상태 및 클라이언트 무결성 확인 요청.
CVE-2026-72529 KEV 추가는 “여전히 취약한 서버가 존재한다”는 경고와 동시에, “이미 공격자가 이 경로를 통해 회의 참가자를 타겟팅하고 있다”는 현실을 보여줍니다. 패치는 무료이고 점검 절차도 명확합니다. 두 달 전에 제공된 패치를 아직 적용하지 않았다면, 그간 4307/TCP 포트가 열려 있던 모든 순간이 공격자의 접근 창이었을 수 있습니다.