Head Mare infecte les réunions TrueConf avec PhantomCore

Comment Head Mare a transformé TrueConf Server en vecteur de malware

Le 20 août 2026, la CISA (Cybersecurity and Infrastructure Security Agency) a officiellement ajouté deux vulnérabilités critiques affectant TrueConf Server à son catalogue KEV (Known Exploited Vulnerabilities). Les agences fédérales américaines disposent jusqu'au 10 septembre 2026 pour appliquer les correctifs. Cette décision fait suite à la détection active d'exploitation par le groupe hacktiviste Head Mare, qui utilise ces deux failles en tandem pour déployer le malware PhantomCore directement sur les postes de travail des participants aux réunions en ligne — transformant chaque visioconférence en vecteur de compromission.

TrueConf Server est une plateforme de visioconférence auto-hébergée largement adoptée par les entreprises et institutions souhaitant maîtriser leurs communications sans dépendre des solutions SaaS américaines. La plateforme est particulièrement présente dans les administrations, collectivités et structures sensibles en Europe de l'Est, en Russie et dans les pays de la CEI. C'est précisément cette audience cible qui a attiré l'attention de Head Mare, groupe hacktiviste dont les motivations s'articulent autour d'objectifs géopolitiques alignés avec les tensions persistantes dans la région, selon les analyses publiées par Positive Technologies et Group-IB.

Les deux failles, référencées CVE-2026-72529 et CVE-2026-72530, affectent toutes les versions de TrueConf Server publiées depuis 2022. CVE-2026-72529 est une vulnérabilité permettant l'appel d'une fonction non documentée dans l'interface d'administration du serveur, offrant à un attaquant la capacité d'exécuter des scripts arbitraires dans le contexte de l'application. La seconde faille, CVE-2026-72530, permet à l'attaquant d'échapper à l'environnement isolé dans lequel s'exécute le serveur et de lancer des scripts directement sur le système hôte, avec des privilèges élevés. Utilisées séparément, ces vulnérabilités sont déjà préoccupantes ; enchaînées, elles offrent une compromission complète du serveur.

L'enchaînement de ces deux vulnérabilités constitue une chaîne d'exploitation redoutable. Dans un premier temps, les attaquants compromettent le serveur TrueConf via CVE-2026-72529 en invoquant la fonction non documentée, gagnant ainsi un premier point d'appui dans l'application. Ils utilisent ensuite CVE-2026-72530 pour s'extraire du sandbox applicatif et atteindre le système d'exploitation hôte. Une fois ce niveau d'accès obtenu, ils procèdent à la manipulation insidieuse au cœur de cette campagne : le remplacement des fichiers de distribution du client TrueConf par des versions piégées contenant l'implant PhantomCore.

PhantomCore est un RAT (Remote Access Trojan) multifonctionnel documenté dans plusieurs campagnes de Head Mare depuis 2024. Il est capable d'établir une connexion persistante vers des serveurs de commande et contrôle, d'exfiltrer des données sensibles, de déployer des charges utiles supplémentaires et de se propager latéralement dans le réseau victime. Dans le contexte de l'exploitation de TrueConf, PhantomCore présente une particularité alarmante : il se propage automatiquement aux participants des réunions hébergées sur le serveur compromis, sans intervention supplémentaire des attaquants pour chaque victime.

Le mécanisme de propagation est le suivant : lorsque des utilisateurs se connectent à un serveur TrueConf Server compromis et téléchargent le client de l'entreprise — ce qui survient notamment lors d'une première connexion ou d'une mise à jour logicielle — ils récupèrent involontairement la version backdoorée du logiciel. PhantomCore s'installe silencieusement sur leur poste de travail. Selon les informations relayées par SecurityWeek et SecurityAffairs, cette technique permet à Head Mare d'infecter simultanément les employés de plusieurs organisations partageant la même instance TrueConf Server, par exemple dans des configurations inter-entreprises.

Le CERT Polska a publié des indicateurs de compromission (IoC) pour permettre aux équipes SOC de détecter les infections : hachages des fichiers clients trojannés, adresses IP et domaines associés aux serveurs de commande et contrôle de PhantomCore. Plusieurs équipes CERT européennes ont relayé ces informations, témoignant de l'attention portée à cette campagne au niveau continental. Head Mare est actif depuis au moins 2022 et cible principalement les administrations, opérateurs d'infrastructures critiques et organisations liées à la défense dans les pays de la CEI.

Les correctifs existent depuis juin 2026 : TrueConf les a intégrés dans les versions 5.3.9, 5.4.9 et 5.5.5. Leur disponibilité précède de plus de deux mois l'alerte CISA du 20 août, soulignant un retard systémique dans l'application des patches qui est précisément la condition permettant à Head Mare de continuer à exploiter ces failles. SC Media souligne que ce délai illustre l'importance critique d'un suivi rigoureux des mises à jour même pour des applications perçues comme peu critiques dans la hiérarchie des priorités de sécurité.

Quand la salle de réunion virtuelle devient la principale surface d'attaque

L'exploitation de TrueConf Server met en lumière un vecteur d'attaque encore sous-estimé : la compromission des plateformes de visioconférence auto-hébergées. Si la majorité des grandes entreprises ont migré vers des solutions SaaS managées, un segment significatif — administrations publiques soucieuses de souveraineté numérique, opérateurs d'infrastructures critiques, entreprises opérant en environnement classifié — maintient des instances auto-hébergées. Ces déploiements, moins soumis aux cycles de mise à jour automatique des solutions cloud, constituent des cibles de choix pour des acteurs comme Head Mare.

La technique est particulièrement pernicieuse car elle détourne la relation de confiance inhérente à la distribution logicielle interne. Un exécutable téléchargé depuis le serveur de l'entreprise bénéficie d'une présomption automatique de légitimité, aussi bien auprès des utilisateurs que des solutions de sécurité endpoint configurées pour autoriser les installations provenant de domaines internes. Cette confiance implicite est précisément ce que les attaquants exploitent. Le vecteur est analogue aux attaques de supply chain les plus connues — SolarWinds en 2020, l'empoisonnement de 3CX en 2023, ou encore l'incident de la bibliothèque npm keyv début août 2026 — avec la particularité ici que l'infrastructure compromise est celle de la cible elle-même.

Sur le plan géopolitique, Head Mare s'inscrit dans la longue liste des groupes hacktivistes dont les actions servent des intérêts étatiques sous couvert de motivations idéologiques. La CISA, en ajoutant ces CVE au KEV avec un délai de correction de seulement 20 jours — parmi les plus courts jamais imposés — signale que la menace dépasse le périmètre géographique habituel des cibles du groupe. Les organisations occidentales utilisant TrueConf Server, notamment dans les secteurs de la défense, de l'énergie ou de l'administration, doivent considérer ce risque comme immédiat.

Pour les équipes sécurité, cet incident impose une révision urgente des processus de patch management pour les plateformes de communication interne. VPN, firewalls et solutions EDR font généralement l'objet d'une surveillance et de mises à jour régulières ; les serveurs de visioconférence auto-hébergés passent trop souvent sous le radar, perçus comme des outils de productivité banals plutôt que des composants critiques de l'infrastructure. Head Mare vient de démontrer que cette perception est dangereuse : toute application distribuant des logiciels à des utilisateurs finaux peut devenir un canal de distribution de malware si sa sécurité n'est pas rigoureusement maintenue.

Ce qu'il faut retenir

• CVE-2026-72529 et CVE-2026-72530 dans TrueConf Server sont activement exploitées par Head Mare pour remplacer les binaires clients par PhantomCore et infecter les participants aux réunions.
• Les correctifs existent depuis juin 2026 (versions 5.3.9, 5.4.9 et 5.5.5) : l'absence de mise à jour est la seule condition requise pour être vulnérable.
• Mettre à jour TrueConf Server immédiatement, vérifier l'intégrité cryptographique des fichiers distribués aux clients, et confronter les IoC du CERT Polska avec les logs système et EDR.