ScreenConnect-lek al sinds augustus misbruikt -- patch clients en agents naar 26.6.5+

ConnectWise heeft een Priority-1 High-melding gepubliceerd voor CVE-2026-84869, een kwetsbaarheid in ScreenConnect met een CVSS-score van 9.9 die remote-accessclients en access agents treft. Volgens de leverancier worden servers niet getroffen, maar het probleem aan de clientkant wordt al actief misbruikt.

Wat de kwetsbaarheid mogelijk maakt

De kwetsbaarheid, geclassificeerd als CWE-862 (ontbrekende autorisatie) en CWE-269 (onjuist privilegebeheer), kan er onder bepaalde omstandigheden toe leiden dat bestanden worden overgedragen en uitgevoerd via een actieve remote-access-sessie zonder autorisatie of bevestiging door de host. Huntress meldt dat het lek al sinds 20 augustus wordt misbruikt en heeft drie incidenten gedocumenteerd waarbij aanvallers kwaadaardige VBScript-payloads verspreidden via gecompromitteerde ScreenConnect-sessies. CISA voegde CVE-2026-84869 op 11 september toe aan zijn Known Exploited Vulnerabilities-catalogus, met een federale remediatiedeadline van 14 september -- inmiddels verstreken.

Wat te patchen en hoe

ScreenConnect Cloud-implementaties zijn al automatisch bijgewerkt. On-premise-implementaties moeten versie 25.4 of hoger draaien voordat ze kunnen upgraden naar de gerepareerde release 26.6.5. Bovendien moeten beheerders hostclients en access agents opnieuw installeren om de fix door te voeren -- alleen de server bijwerken is niet voldoende.

ConnectWise biedt een tijdelijke mitigatie voor teams die nog met de upgrade bezig zijn: schakel onder Administration > Security > Roles de machtiging TransferFiles uit voor elke sessiegroeprol. Dit verkleint het risico tijdelijk, maar is geen vervanging voor de update naar 26.6.5.

Gezien bevestigde exploitatie sinds eind augustus en een verstreken federale deadline moet dit worden behandeld als een patch met onmiddellijke prioriteit voor elke MSP die ScreenConnect on-premise draait, en niet als een routineklus binnen een onderhoudsvenster.

Bronnen: ConnectWise-beveiligingsbulletin, SecurityWeek.