TrueConf 用戶端視訊會議軟體中的一個高危險安全漏洞已被利用，作為名為TrueChaos的針對東南亞政府機構的零日攻擊活動的一部分。此漏洞編號為CVE-2026-3502（CVSS 評分：7.8），是指在取得應用程式更新程式碼時缺少完整性檢查，攻擊者可以利用此漏洞分發篡改過的更新，從而執行任意程式碼。 TrueConf Windows 用戶端已於本月初發布的8.5.3 版本中修復了此漏洞。

Check Point在今天發布的一份報告中表示： “該漏洞源於對 TrueConf 更新程序驗證機制的濫用，使得控製本地 TrueConf 伺服器的攻擊者能夠向所有連接的端點分發和執行任意文件。”

換句話說，如果攻擊者設法控制了本地 TrueConf 伺服器，就可以用被篡改的版本替換更新包，然後客戶端應用程式會拉取該版本，因為它沒有強制執行足夠的驗證來確保伺服器提供的更新沒有被篡改。

TrueChaos攻擊活動被發現利用了更新機制中的這個漏洞，很可能是將開源的Havoc命令與控制（C2）框架部署到易受攻擊的終端設備上。該活動已被初步認定為與中國有關的威脅行為者所為。

網路安全公司於 2026 年初首次記錄到利用該漏洞的攻擊，攻擊者利用客戶端對更新機制的隱性信任，推送惡意安裝程序，該安裝程序又利用 DLL 側加載來啟動 DLL 後門。

雖然尚不清楚此次攻擊中投放的最終階段惡意軟體的具體內容，但可以高度肯定的是，其最終目標是部署 Havoc 植入程式。

Check Point公司表示：「攻擊者利用CVE-2026-3502漏洞無需逐一攻破每個終端。相反，他們濫用了中央本地TrueConf伺服器與其客戶端之間的信任關係。透過將合法更新替換為惡意更新，他們將產品的正常更新流程變成了跨多個互聯政府網路的惡意軟體分發管道。」

資料來源：https://thehackernews.com/2026/03/trueconf-zero-day-exploited-in-attacks.html