CVE-2026-3502 : zero-day TrueConf exploité par la Chine

Les faits

Le 2 avril 2026, la CISA a inscrit la CVE-2026-3502 à son catalogue des vulnérabilités activement exploitées (KEV), confirmant l'exploitation en conditions réelles d'une faille zero-day visant TrueConf Client, solution de visioconférence déployée dans de nombreuses administrations et entreprises européennes. Classée « Download of Code Without Integrity Check » et notée 7.8 sur l'échelle CVSS, cette vulnérabilité permet à un attaquant ayant préalablement compromis un serveur TrueConf on-premises de diffuser des mises à jour piégées vers l'ensemble des postes clients connectés, obtenant ainsi une exécution de code arbitraire à grande échelle. Les analyses attribuent cette campagne à un mode opératoire lié à la Chine, dans une logique classique d'attaque sur la chaîne d'approvisionnement logicielle. Nous détaillons ici le mécanisme technique de la faille, les indicateurs de compromission associés et les mesures de remédiation à déployer sans délai.

L'équipe Check Point Research a documenté cette exploitation dans un rapport détaillé intitulé « Operation TrueChaos ». L'attaquant n'a pas eu besoin de compromettre chaque poste individuellement : en remplaçant une mise à jour légitime par un payload malveillant sur le serveur central, il a transformé le flux de mise à jour normal du produit en canal de distribution de malware à travers plusieurs réseaux gouvernementaux interconnectés.

Le payload déployé est le framework post-exploitation Havoc, un outil de Command & Control (C2) open-source. L'attribution pointe avec une confiance modérée vers un acteur lié à la Chine, selon l'analyse des tactiques, techniques, procédures, de l'infrastructure C2 et de la victimologie réalisée par Check Point Research.

Impact et exposition

L'impact est particulièrement sévère dans les environnements où TrueConf est déployé en mode on-premises avec un serveur centralisé gérant les mises à jour des clients. Un seul serveur compromis suffit à distribuer du code malveillant à l'ensemble des postes connectés, créant un effet de levier considérable pour l'attaquant. Les administrations, ministères et grandes entreprises utilisant TrueConf comme solution de visioconférence interne sont les cibles prioritaires.

L'exploitation active dans le cadre d'une campagne APT ciblant des gouvernements d'Asie du Sud-Est démontre que cette vulnérabilité est utilisée dans des opérations d'espionnage étatique. Le vecteur d'attaque via le mécanisme de mise à jour est particulièrement insidieux car il exploite la confiance inhérente entre le serveur et ses clients, rendant la détection difficile sans surveillance spécifique du trafic de mise à jour.

Recommandations immédiates

• Mettre à jour TrueConf Client vers la version 8.5.3 qui corrige la vérification d'intégrité des mises à jour — advisory TrueConf Security Advisory 2026-04
• Auditer les serveurs TrueConf on-premises pour détecter toute compromission : vérifier l'intégrité des binaires de mise à jour stockés sur le serveur
• Rechercher les indicateurs de compromission liés au framework Havoc C2 dans les logs réseau et endpoint
• Isoler temporairement les serveurs TrueConf du réseau si la mise à jour ne peut pas être appliquée immédiatement
• Surveiller les connexions sortantes suspectes depuis les postes équipés de TrueConf Client

Analyse technique et détection

Le vecteur d'exploitation repose sur une faiblesse structurelle du mécanisme de mise à jour de TrueConf Client : les paquets d'update ne sont pas soumis à une vérification cryptographique de signature avant installation (CWE-494, « Download of Code Without Integrity Check »). Concrètement, le client interroge le serveur TrueConf Server on-premises, télécharge le binaire de mise à jour proposé et l'exécute avec les privilèges du processus TrueConf — généralement ceux de l'utilisateur connecté, parfois élevés selon la configuration du déploiement. En l'absence de contrôle d'intégrité (hash signé, certificat éditeur vérifié), tout acteur capable d'altérer le contenu servi par le serveur de mise à jour — via compromission directe, attaque de type Man-in-the-Middle sur un flux non chiffré, ou détournement DNS interne — peut substituer un exécutable légitime par un loader Havoc sans déclencher d'alerte côté client.

Les versions de TrueConf Client antérieures à la 8.5.3 sont concernées, ce qui inclut l'ensemble de la branche 8.x déployée avant mars 2026 ainsi que certaines builds de la branche 7.x encore en usage dans des environnements gouvernementaux n'ayant pas migré. TrueConf Server lui-même n'est pas vulnérable au sens strict du CVE, mais agit comme vecteur de propagation lorsqu'il est compromis en amont — ce qui déplace une partie de l'effort de détection vers l'intégrité du serveur central plutôt que vers les postes clients pris individuellement.

Indicateurs de compromission à surveiller

Check Point Research a publié des indicateurs de compromission associés à « Operation TrueChaos », exploitables pour une recherche rétrospective dans les journaux EDR et proxy :

• Processus enfants anormaux issus de TrueConf.exe ou trueconf-client, notamment des shells (cmd.exe, powershell.exe) lancés peu après une mise à jour applicative
• Trafic sortant HTTPS vers des domaines de commande et contrôle nouvellement enregistrés, avec des motifs de balise caractéristiques du framework Havoc (jitter configurable, en-têtes HTTP personnalisés)
• Création de tâches planifiées ou de clés de persistance de type Run key immédiatement après une opération de mise à jour du client de visioconférence
• Hachages de binaires de mise à jour ne correspondant pas aux hachages officiels publiés par TrueConf pour la version 8.5.3

Pour les équipes ne pouvant pas déployer immédiatement le correctif, l'isolation réseau du serveur TrueConf on-premises (segmentation, restriction des flux sortants du serveur de mise à jour) et le blocage temporaire des mises à jour automatiques côté client, au profit d'une validation manuelle des binaires par l'équipe sécurité, constituent des mesures compensatoires limitant la fenêtre d'exposition en attendant la montée de version.