ScreenConnect-Lücke seit August ausgenutzt – Clients und Agents auf 26.6.5+ patchen

ConnectWise hat für CVE-2026-84869 ein Bulletin der Prioritätsstufe 1 (hoch) veröffentlicht – eine CVSS-9.9-Schwachstelle in ScreenConnect, die Remote-Access-Clients und Access Agents betrifft. Laut Hersteller sind Server nicht betroffen, doch das clientseitige Problem wird bereits in freier Wildbahn ausgenutzt.

Was die Schwachstelle ermöglicht

Die Schwachstelle, klassifiziert unter CWE-862 (fehlende Autorisierung) und CWE-269 (unsachgemäße Rechteverwaltung), kann unter bestimmten Bedingungen dazu führen, dass Dateien über eine aktive Fernzugriffssitzung ohne Autorisierung oder Host-Bestätigung übertragen und ausgeführt werden. Huntress hat berichtet, dass die Schwachstelle seit dem 20. August ausgenutzt wird, und hat drei Vorfälle dokumentiert, bei denen Angreifer bösartige VBScript-Nutzlasten über kompromittierte ScreenConnect-Sitzungen verteilten. CISA hat CVE-2026-84869 am 11. September in den Known-Exploited-Vulnerabilities-Katalog aufgenommen; die Frist für Bundesbehörden zur Behebung endete am 14. September – sie ist inzwischen verstrichen.

Was aktualisiert werden muss – und wie

ScreenConnect-Cloud-Bereitstellungen wurden bereits automatisch aktualisiert. On-Premise-Bereitstellungen müssen Version 25.4 oder höher ausführen, bevor sie auf die korrigierte Version 26.6.5 aktualisieren können; Administratoren müssen außerdem Host-Clients und Access Agents neu installieren, um die Korrektur zu übernehmen – das Update allein des Servers genügt nicht.

Für Teams, die noch mit dem Upgrade beschäftigt sind, bietet ConnectWise eine vorübergehende Risikominderung an: Unter Administration > Security > Roles die Berechtigung TransferFiles für jede Sitzungsgruppen-Rolle deaktivieren. Das reduziert das Risiko vorübergehend, ersetzt jedoch nicht das Update auf 26.6.5.

Angesichts der bestätigten Ausnutzung seit Ende August und der verstrichenen Behördenfrist sollte dieser Patch für jeden MSP mit einer On-Premise-Installation von ScreenConnect als sofortige Priorität behandelt werden – nicht als Routine-Wartungsfenster.

Quellen: ConnectWise-Sicherheitsbulletin, SecurityWeek.