ScreenConnect già sfruttata da agosto: aggiornare client e agenti alla 26.6.5+

ConnectWise ha pubblicato un bollettino High di Priorità 1 per CVE-2026-84869, una vulnerabilità CVSS 9.9 in ScreenConnect che colpisce i client di accesso remoto e gli agenti di accesso. Secondo il fornitore, i server non sono coinvolti, ma il problema lato client è già stato sfruttato in circolazione.

Cosa consente la vulnerabilità

La vulnerabilità, classificata come CWE-862 (autorizzazione mancante) e CWE-269 (gestione impropria dei privilegi), può consentire il trasferimento e l'esecuzione di file attraverso una sessione di accesso remoto attiva senza autorizzazione o conferma dell'host in determinate condizioni. Huntress ha riferito che la vulnerabilità è stata sfruttata dal 20 agosto, documentando tre incidenti in cui gli attaccanti hanno distribuito payload VBScript malevoli attraverso sessioni ScreenConnect compromesse. La CISA ha aggiunto CVE-2026-84869 al suo catalogo Known Exploited Vulnerabilities l'11 settembre, con una scadenza federale per la correzione del 14 settembre -- già superata.

Cosa aggiornare e come

Le distribuzioni ScreenConnect Cloud sono già state aggiornate automaticamente. Le distribuzioni on-premise devono eseguire la versione 25.4 o successiva prima di poter passare alla release corretta 26.6.5, e gli amministratori devono anche reinstallare i client host e gli agenti di accesso per applicare la correzione -- aggiornare solo il server non è sufficiente.

ConnectWise offre una mitigazione temporanea per i team che stanno ancora completando l'aggiornamento: in Amministrazione > Sicurezza > Ruoli, deselezionare l'autorizzazione TransferFiles su ciascun ruolo del gruppo di sessioni. Questo riduce il rischio temporaneamente ma non sostituisce l'aggiornamento alla 26.6.5.

Data la conferma dello sfruttamento da fine agosto e una scadenza federale ormai superata, tratta questa patch come priorità immediata per qualsiasi MSP che esegue ScreenConnect on-premise, non come un elemento di routine da finestra di manutenzione.

Fonti: Bollettino di sicurezza ConnectWise, SecurityWeek.