CVE-2026-72529: TrueConf Server 실제 악용 확인 및 2026-08-20 KEV 추가와 점검 순서

2026년 8월 20일, CVE 공식 기록의 CISA KEV 추가 타임라인에 CVE-2026-72529가 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가된 것으로 나타났다. Kaspersky Security Research(Securelist) 자료에 따르면, 해당 취약점은 2026-06-18에 제공된 TrueConf Server 5.3.9, 5.4.9, 5.5.5 업데이트로 패치된 상태였다. 패치 제공에서 KEV 등재까지 두 달이 지난 지금, 이 사건의 핵심은 "패치를 해야 하는가"가 아니라 "패치를 했더라도 남은 것이 있는가"로 이동한다.

취약점 개요

CVE-2026-72529는 TrueConf Server의 중요 기능 인증 누락(Missing Authentication for Critical Function) 취약점이다. Kaspersky ICS CERT의 자문 KLCERT-26-057에 따르면, TrueConf Server의 5.3 이전 모든 버전, 5.3.X에서 5.3.9 이전, 5.4.X에서 5.4.9 이전, 5.5.X에서 5.5.5 이전 버전에 네트워크 접근이 있는 원격 무인가 공격자는 undocumented function을 호출해 임의 스크립트를 실행할 수 있다. CVE 공식 기록에도 네트워크 접근을 가진 원격 무인가 공격자가 4307/TCP를 통해 undocumented function을 호출해 임의 스크립트를 실행할 수 있다는 같은 유형의 공격 경로가 기술되어 있다.

공격자는 4307/TCP 포트로 서버에 접속한다. Kaspersky Security Research의 분석에 따르면 이 포트는 제품 문서상 기본적으로 열려 있는 상태다. 즉, 추가 포트 노출이나 구성 실수 없이도, 4307/TCP에 도달할 수 있는 공격자가 사전 인증 없이 임의 스크립트를 실행할 수 있는 경로가 존재한다. KLCERT-26-057 자문은 이 공격 경로, 포트, 그리고 'before' 기준으로 명시된 버전 범위에서 임의 스크립트 실행 효과를 확인한다.

영향 범위

Kaspersky ICS CERT 자문은 영향 대상을 Windows와 Linux용 TrueConf Server로 명시한다. 구체적으로는 다음과 같은 버전 범위가 영향 대상이다.

• 5.3 이전의 모든 버전
• 5.3.X에서 5.3.9 이전
• 5.4.X에서 5.4.9 이전
• 5.5.X에서 5.5.5 이전

패치는 2026-06-18에 제공된 TrueConf Server 5.3.9, 5.4.9, 5.5.5 업데이트에서 해당 취약점을 수정했다.

영향 범위를 읽을 때 한 가지 더 넓은 맥락이 있다. Kaspersky Security Research가 강조한 바처럼, TrueConf Server를 직접 운영하지 않는 조직도 공격 대상에서 완전히 벗어나지 않는다. 직원이 비즈니스 파트너의 손상된 TrueConf Server에 온라인 회의 참여를 위해 접속하면, 감염된 클라이언트 설치 패키지를 내려받을 수 있기 때문이다. 이 조건부 위험이 성립할 수 있는 범위는 협력사 회의에 접속해 클라이언트 패키지를 내려받을 수 있는 환경이다.

기술적 분석

이 취약점은 "인증 누락"이라는 구조적 결함에서 출발한다. 4307/TCP로 도달할 수 있는 공격자는, 서버가 특정 기능을 인증 없이 처리하도록 설계되어 있음을 이용해 undocumented function을 호출하고, 그 결과로 TrueConf Server에서 임의 스크립트를 실행하게 된다. 포트가 기본적으로 열려 있다는 사실은, 이 경로가 우연한 구성 실수에 의존하지 않고 제품 기본값에서 출발한다는 의미다. 따라서 "내 네트워크 안에서만 차단하면 된다"는 전제는, 4307/TCP가 외부에 노출되어 있지 않다고 확신할 수 있을 때에만 성립한다.

Kaspersky Security Research는 이 취약점이 실제 공격에서 어떻게 쓰였는지 확인했다. 공급자 자문의 영향 범위 기준으로, 공격자는 4307/TCP를 통해 사전 인증 없이 TrueConf Server에 접속하고, 5.3.X에서 5.3.9 이전, 5.4.X에서 5.4.9 이전, 5.5.X에서 5.5.5 이전 버전을 대상으로 공격을 수행했다. 그 결과로 확인된 활동은 다음과 같다.

• IT 인프라에 대한 정보 수집
• TrueConf 데이터베이스에 대한 권한 있는 접근 확보
• TrueConf Client 배포물 원본을 PhantomCore 백도어가 포함된 감염된 버전으로 교체

마지막 항목은 영향의 성격이 서버 자체의 compromise에서 클라이언트 배포 채널 compromise로 확장됨을 보여준다. 확인된 범위에서, 공격자가 TrueConf Client 배포물을 감염된 버전으로 교체할 수 있다는 사실은 이후 클라이언트를 설치하는 사용자에게까지 영향이 미칠 수 있음을 의미한다. 다만, 이 교체 자체가 어떻게 발생하는지에 대한 세부 인과관계는 제공된 자료에 명시되어 있지 않다.

한편, 제공된 증거에는 공개 PoC 또는 독립적으로 검증된 익스플로잇 코드의 존재, 출처, 검증 상태에 대한 명시된 기술이 포함되지 않는다. 따라서 이 취약점에 대한 공개 PoC의 유무, 전제조건, 입증 범위, 운영상 의미에 대해 단정할 수 없다. 확인할 수 있는 것은, Kaspersky Security Research가 실제 공격에서 이 취약점이 악용됐다고 확인한 사실과, KLCERT-26-057이라는 단일 자문이 공격 경로·포트·버전 범위를 명시하고 있다는 두 출처 유형이다. 개별 조직에서 공개 PoC를 검토할 경우, 공급자 자문과 CVE 기록에 명시된 조건(4307/TCP 네트워크 접근, 인증 불필요, undocumented function 호출)과 일치하는지 먼저 대조하는 것이 적절하다.

실제 공격에서 확인된 점검 대상

공급자 및 독립 연구에서 확인된 공격 경로와 실제 악용 징후를 점검 기준으로 정리하면, 다음 항목이 확인 대상이 된다.

• TrueConf Server에 대한 4307/TCP 접근
• 인증 없는 스크립트 실행
• TrueConf 데이터베이스 접근
• 클라이언트 설치 패키지 무결성 변경

다만, 이 목록은 증거에 포함된 항목만 나열한 것이며, 특정 IOC나 추가 도구에 대한 세부사항은 제공된 자료에 포함되지 않는다. 개별 환경에서 어떤 로그 패턴이 해당 항목에 해당하는지는 조직의 모니터링 환경에 따라 다르므로, 이 목록을 그대로 탐지 규칙으로 쓰기보다는 점검 방향의 기준으로 삼는 것이 적절하다.

대응 방안

공급자 및 독립 연구에서 확인된 사실로부터 도출하면, TrueConf Server를 사용하는 조직은 다음 순서로 대응 계획을 세우는 것이 바람직하다. 이 순서는 조직의 네트워크 구조, 변경 관리 제약, 협력사 회의 참여 여부에 따라 우선순위가 달라질 수 있다는 전제 아래 제시된다. 우선 아래 두 항목을 즉시 수행할 점검과 조치로 확인한 뒤, 아래 두 항목을 지속적으로 관리할 대응으로 유지한다.

즉시 수행할 점검·조치

• 패치 적용: TrueConf Server 5.3.9, 5.4.9, 5.5.5 업데이트를 적용한다. 이 업데이트는 2026-06-18에 제공됐으므로, 적용이 지연된 서버부터 점검한다.
• 4307/TCP 접근 제한: 포트가 기본값으로 열려 있으므로, 서버가 반드시 외부에서 4307/TCP로 접근받아야 하는지 재점검한다. 필요하지 않다면 접근을 제한하고, 필요하다면 접근원을 최소화한다.

지속적으로 관리할 대응

• 클라이언트 배포 채널 무결성 관리: TrueConf Server를 직접 운영하지 않더라도, 협력사 회의에서 내려받은 클라이언트 패키지가 감염된 버전일 수 있다. 배포 채널과 설치 원본의 무결성을 관리할 수 있는 체계를 확인한다.
• 잔존 공격자 여부 조건부 점검: 실제 공격에서 IT 인프라 정보 수집, TrueConf 데이터베이스에 대한 권한 있는 접근 확보, TrueConf Client 배포물 원본을 PhantomCore 백도어가 포함된 감염된 버전으로 교체하는 활동이 확인됐다. 패치는 해당 취약점을 수정하지만, 이미 발생한 데이터베이스 접근이나 클라이언트 배포물 교체가 자동으로 되돌려지는 것은 아니므로, 해당 활동이 발생한 가능성을 개별 환경에서 확인해야 한다.

여기서 한계를 분명히 하면, 패치 버전 적용이 이미 발생한 활동을 자동으로 해소하지는 않는다. TrueConf Server 5.3.9, 5.4.9, 5.5.5 업데이트를 적용했다는 사실만으로 "점검 완료"로 처리하면, 실제로는 TrueConf 데이터베이스에 권한 있는 접근을 확보하거나 클라이언트 배포물을 교체한 활동이 남아 있을 수 있다. 따라서 점검은 패치와 독립적인 작업으로 계획해야 한다.

참고자료

• CVE-2026-72529 공식 기록 (CVE Project / Kaspersky CNA)
• KLCERT-26-057: TrueConf Server. Missing Authentication for Critical Function (Kaspersky ICS CERT)
• Head Mare delivers PhantomCore and PhantomGraph backdoors via an unpatched TrueConf server (Kaspersky Security Research, Securelist)

함께 읽으면 좋은 글

• CVE-2026-72530 대응 가이드: TrueConf Server 코드 인젝션 KEV 긴급 점검
• 공공 AX 도입에서 개인정보 보호 검토: 확인된 안내 목적과 적용 범위
• CVE-2026-64849 대응: MLflow 웹훅 SSRF와 내부·클라우드 메타데이터 노출 점검

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.