Fallo de ScreenConnect explotado desde agosto: actualice clientes y agentes a 26.6.5+

ConnectWise ha publicado un boletín de prioridad 1 alta para CVE-2026-84869, un fallo de ScreenConnect con CVSS 9.9 que afecta a los clientes de acceso remoto y a los agentes de acceso. Según el fabricante, los servidores no se ven afectados, pero el problema del lado del cliente ya se ha explotado de forma activa.

Qué permite el fallo

La vulnerabilidad, clasificada bajo CWE-862 (falta de autorización) y CWE-269 (gestión inadecuada de privilegios), puede permitir que se transfieran y ejecuten archivos a través de una sesión de acceso remoto activa sin autorización ni confirmación del host en determinadas condiciones. Huntress ha informado de que el fallo se explota desde el 20 de agosto y ha documentado tres incidentes en los que los atacantes distribuyeron cargas útiles maliciosas de VBScript a través de sesiones de ScreenConnect comprometidas. CISA añadió CVE-2026-84869 a su catálogo de vulnerabilidades explotadas conocidas el 11 de septiembre, con un plazo federal de corrección del 14 de septiembre, ya superado.

Qué parchear y cómo

Las implementaciones de ScreenConnect Cloud ya se han actualizado automáticamente. Las implementaciones locales deben ejecutar la versión 25.4 o posterior antes de poder actualizar a la versión corregida 26.6.5, y los administradores también deben reinstalar los clientes host y los agentes de acceso para aplicar la corrección: actualizar solo el servidor no es suficiente.

ConnectWise ofrece una mitigación provisional para los equipos que aún están completando la actualización: en Administración > Seguridad > Roles, desmarque el permiso TransferFiles en cada rol de grupo de sesión. Esto reduce el riesgo temporalmente, pero no sustituye a la actualización 26.6.5.

Dada la explotación confirmada desde finales de agosto y un plazo federal ya vencido, trate esto como un parche de prioridad inmediata para cualquier MSP que ejecute ScreenConnect localmente, no como un elemento rutinario de la ventana de mantenimiento.

Fuentes: boletín de seguridad de ConnectWise, SecurityWeek.