Faille ScreenConnect exploitée depuis août -- mettez à jour clients et agents vers 26.6.5+

ConnectWise a publié un bulletin de priorité élevée 1 pour la CVE-2026-84869, une faille ScreenConnect classée CVSS 9.9 qui affecte les clients d'accès à distance et les agents d'accès. Selon l'éditeur, les serveurs ne sont pas concernés, mais le problème côté client est déjà exploité dans la nature.

Ce que permet la faille

La vulnérabilité, classée sous CWE-862 (autorisation manquante) et CWE-269 (gestion des privilèges incorrecte), peut permettre le transfert et l'exécution de fichiers via une session d'accès à distance active, sans autorisation ni confirmation de l'hôte dans certaines conditions. Huntress a signalé que la faille est exploitée depuis le 20 août, documentant trois incidents au cours desquels des attaquants ont distribué des charges utiles VBScript malveillantes via des sessions ScreenConnect compromises. La CISA a ajouté la CVE-2026-84869 à son catalogue des vulnérabilités connues et exploitées le 11 septembre, avec une échéance fédérale de correction au 14 septembre -- déjà dépassée.

Ce qu'il faut corriger, et comment

Les déploiements ScreenConnect Cloud ont déjà été mis à jour automatiquement. Les déploiements sur site doivent exécuter la version 25.4 ou ultérieure avant de pouvoir passer à la version corrigée 26.6.5, et les administrateurs doivent également réinstaller les clients hôtes et les agents d'accès pour appliquer le correctif -- la seule mise à jour du serveur ne suffit pas.

ConnectWise propose une mesure d'atténuation provisoire pour les équipes encore en cours de mise à niveau : dans Administration > Sécurité > Rôles, décochez l'autorisation TransferFiles sur chaque rôle de groupe de sessions. Cela réduit temporairement le risque, mais ne remplace pas la mise à jour vers la version 26.6.5.

Compte tenu d'une exploitation confirmée depuis fin août et d'une échéance fédérale dépassée, traitez ce correctif comme une priorité immédiate pour tout MSP exécutant ScreenConnect sur site, et non comme un élément de fenêtre de maintenance ordinaire.

Sources : bulletin de sécurité ConnectWise, SecurityWeek.