CVE-2026-3502 : zero-day TrueConf exploité par la Chine (KEV)

Les faits

La CVE-2026-3502, ajoutée au catalogue KEV de la CISA le 2 avril 2026, affecte TrueConf Client, une solution de visioconférence largement déployée dans les administrations et entreprises. La vulnérabilité, de type « Download of Code Without Integrity Check » (CVSS 7.8), permet à un attaquant contrôlant le serveur TrueConf on-premises de distribuer des mises à jour malveillantes à l'ensemble des clients connectés, entraînant l'exécution de code arbitraire sur chaque poste.

L'équipe Check Point Research a documenté cette exploitation dans un rapport détaillé intitulé « Operation TrueChaos ». L'attaquant n'a pas eu besoin de compromettre chaque poste individuellement : en remplaçant une mise à jour légitime par un payload malveillant sur le serveur central, il a transformé le flux de mise à jour normal du produit en canal de distribution de malware à travers plusieurs réseaux gouvernementaux interconnectés.

Le payload déployé est le framework post-exploitation Havoc, un outil de Command & Control (C2) open-source. L'attribution pointe avec une confiance modérée vers un acteur lié à la Chine, selon l'analyse des tactiques, techniques, procédures, de l'infrastructure C2 et de la victimologie réalisée par Check Point Research.

Impact et exposition

L'impact est particulièrement sévère dans les environnements où TrueConf est déployé en mode on-premises avec un serveur centralisé gérant les mises à jour des clients. Un seul serveur compromis suffit à distribuer du code malveillant à l'ensemble des postes connectés, créant un effet de levier considérable pour l'attaquant. Les administrations, ministères et grandes entreprises utilisant TrueConf comme solution de visioconférence interne sont les cibles prioritaires.

L'exploitation active dans le cadre d'une campagne APT ciblant des gouvernements d'Asie du Sud-Est démontre que cette vulnérabilité est utilisée dans des opérations d'espionnage étatique. Le vecteur d'attaque via le mécanisme de mise à jour est particulièrement insidieux car il exploite la confiance inhérente entre le serveur et ses clients, rendant la détection difficile sans surveillance spécifique du trafic de mise à jour.

Recommandations immédiates

• Mettre à jour TrueConf Client vers la version 8.5.3 qui corrige la vérification d'intégrité des mises à jour — advisory TrueConf Security Advisory 2026-04
• Auditer les serveurs TrueConf on-premises pour détecter toute compromission : vérifier l'intégrité des binaires de mise à jour stockés sur le serveur
• Rechercher les indicateurs de compromission liés au framework Havoc C2 dans les logs réseau et endpoint
• Isoler temporairement les serveurs TrueConf du réseau si la mise à jour ne peut pas être appliquée immédiatement
• Surveiller les connexions sortantes suspectes depuis les postes équipés de TrueConf Client