アジア某政府のIT室で、無垢に点滅するサーバーのライト。すると——バン——毒入り更新が展開され、数十のエンドポイントを音もなく感染させるのです。
それがTrueConfのゼロデイ、CVE-2026-3502の物語です。Check Pointが「TrueChaos」作戦と名付けた中国のグループが武器化したものです。私は20年近くこうした話を追いかけてきました。シリコンバレーのVCの喧伝から実際の侵害まで、そしてこれは典型例：更新を信頼したら乗っ取られるのです。
TrueConfは神経質な政府や軍向けのセキュアな選択肢を謳っています。オンプレミスのサーバー、インターネット不要、エアギャップすら可能。音声、映像、チャット——すべて現場でロックダウン。Zoomのクラウド監視を避けたいパラノイア層にぴったりでしょう？ しかし問題は：クライアントの更新プロセス？ お粗末です。
完全性チェックなし。本物性検証なし。クライアントがサーバーの新バージョンを検知し、ユーザーに促す——はいをクリックすれば、悪意あるコードが暴れ回ります。
中国ハッカーが「解読不能」セットアップを破った方法
ハッカーは個別マシンをいじりませんでした。賢い。政府のITチームが運用する中央のオンプレミスTrueConfサーバーを掌握——正規の更新パッケージを仕掛けられたものにすり替え。悪意あるライブラリをクリーンな実行ファイル経由でサイドロード。ドカン：偵察、永続化、横移動のためのインプラント。Havoc C2フレームワークのIPにさえコールホーム。
Check Pointが的確に指摘しています：
「侵害されたTrueConfオンプレミスサーバーは、政府のIT部門が運用し、全国の数十の政府機関が利用するビデオ会議プラットフォームとして機能していました。すべて同じ悪意ある更新が供給されたのです。」
数十機関。一台のサーバー、大規模感染。信頼関係を狼の皮をかぶった羊のように悪用です。
CVSSスコアは7.8。高めですが、終末級ではない——標的を考慮すれば：政府、重要インフラ。ルート権限なんていらない、全ネットワークを手に入れればいいのです。
しかしエアギャップ？ オフラインアクティベーション？ ええ、それが売り文句です。実際はクライアントがサーバーから更新を引きに行く。そこを改ざんすれば——プシュー——ギャップにマルウェアが充填。
この映画は見たことがあります。SolarWindsを覚えていますか？ 国家が信頼される更新を乗っ取り、大物標的を狙う。TrueConfはそのオフライン版の最新作。予測：模倣犯続出。「セキュア」オンプレツールはすべてベクター化します。
なぜ政府がこんなのに繰り返し引っかかるのか
TrueConfは3月に8.5.3で修正済み。CISAのKEVリスト入り、4月16日までにパッチを、さもなくば連邦政府が動きます。でも遅れ組はどれだけ？ 政府はレガシー機器が大好き——更新は遅く、監査はさらに遅い。
皮肉屋の私は問います：本当の勝者は誰？ Check Pointは見出しを飾り、TrueConfはパッチ（と販売？）をプッシュ、中国のアクターは技術を磨く。エンドユーザー？ クリーンアップのツケを払うだけ。
Check Pointが見たインプラントは最終ペイロードを掴んでいませんでしたが、Havocのつながりはポストエクスプロイトの楽しみを予感させます。偵察、永続化——大ショーの準備です。
一文：今すぐパッチを。
深掘りすると、これはエアギャップ神話の暴露です。壁は築いても、跳ね橋——更新、USB、インサイダー——は開いたまま。TrueConfのフローはサーバーへの盲目的信頼に依存。署名チェックなし、ハッシュなし。「エンタープライズ」機器の新人ミスです。
誰も触れない歴史的類似：数年前のShadow BrokersがNSAツールをダンプした件を逆転：国家アクターが今やサプライチェーンを日常的に掌握。これはゼロデイの魔法ではなく、運用セキュリティ101を杜撰なベンダーに対して悪用しただけ。
パッチ後、TrueConfはまだ安全か？
パッチ済み？ もちろんです、8.5.3で穴は塞がれました。でも信頼の侵食は永遠。政府は今、代替をスキャン中でしょう。ライバルが優れたチェックを謳う中、なぜリスクを？
真実は——TrueConfのニッチは「自律性とプライバシー」でした。TrueChaos後、それはPRの破片。教訓を学んだと回しますが、ユーザーは侵害を覚え、修正を忘れます。
攻撃者は？ Check PointのIOCから中国。驚きなし——アジア標的、国家の技。スケールアップしたら：次はNATOのオンプレを？
中辛め：ベンダーよ、踏み込め。クライアントは最低限コード署名を求める。
雑念：バズワード「ゼロトラスト」が飛び交いますが、これ？ 純粋な信頼濫用。面白いものです。
あなたの組織に何の関係があるのか？
政府じゃない？ 考え直せ。TrueConfは重要インフラにも。似たオンプレVC——RingCentral、Jitsiなど——を使っているなら、更新を監査せよ。サーバーが更新ハブ？ 赤信号。
独自視点：これで「検証済み更新」サービスのブームを予測。スタートアップがマネタイズ、VCが熱狂。でも本物のセキュリティは退屈：パッチ管理、異常検知。
CISAの期限が迫る。無視すれば、侵害クラブ入会。
六文深掘り：攻撃チェーンは優雅——サーバー侵害（ITフィッシング？ インサイダー？）、パッケージ改変、クライアントのチェックを待つ。騒々しいエクスプロイトなし、ただ忍耐。インプラントのDLLサイドロード？ 古いトリック、不朽。Havoc C2？ オープンソース、否認可能。中国アクターが西洋ツールでレベルアップ。SIEMが捉える？ クラウド向けチューニングなら無理。
一撃：盲目的更新を捨てろ。
🧬 Related Insights
- Read more: Honeypots Snag Vite Probes Hunting AWS Keys on Exposed Dev Servers
- Read more: Casbaneiro Gang’s Sneaky Dynamic PDFs Hit Enterprises in LatAm and Europe
Frequently Asked Questions
What is the TrueConf zero-day CVE-2026-3502?
オンプレミスサーバーからの未チェック更新で攻撃者にコード実行を許す欠陥です。8.5.3で修正済み。
Who exploited TrueConf in government attacks?
Check Pointによると、中国のハッカーが侵害された中央サーバー経由でアジアの機関を標的に。
Is TrueConf safe for air-gapped networks now?
パッチ適用クライアントは安全ですが、セットアップを監査を——サーバーは依然として侵入経路になり得ます。
