Luka w ScreenConnect wykorzystywana od sierpnia – zaktualizuj do 26.6.5+

Firma ConnectWise opublikowała biuletyn o priorytecie 1 (wysokim) dotyczący CVE-2026-84869 – luki w ScreenConnect o wskaźniku CVSS 9.9, która dotyczy klientów dostępu zdalnego i agentów dostępu. Według producenta serwery nie są zagrożone, ale luka po stronie klienta jest już aktywnie wykorzystywana w atakach.

Co umożliwia ta luka

Podatność, sklasyfikowana jako CWE-862 (brak autoryzacji) i CWE-269 (nieprawidłowe zarządzanie uprawnieniami), może w określonych warunkach umożliwić przesyłanie i wykonywanie plików w ramach aktywnej sesji zdalnego dostępu bez autoryzacji lub potwierdzenia przez hosta. Huntress poinformowała, że luka jest wykorzystywana od 20 sierpnia, i udokumentowała trzy incydenty, w których atakujący rozpowszechniali złośliwe ładunki VBScript przez przejęte sesje ScreenConnect. CISA dodała CVE-2026-84869 do katalogu znanych wykorzystywanych luk (Known Exploited Vulnerabilities) 11 września, z federalnym terminem naprawy wyznaczonym na 14 września – który już minął.

Co załatać i jak

Wdrożenia ScreenConnect Cloud zostały już zaktualizowane automatycznie. Wdrożenia lokalne (on-premise) muszą działać w wersji 25.4 lub nowszej, zanim będzie można je zaktualizować do poprawionej wersji 26.6.5, a administratorzy muszą również ponownie zainstalować klientów hostów i agentów dostępu, aby wdrożyć poprawkę – sama aktualizacja serwera nie wystarczy.

ConnectWise oferuje tymczasowe obejście dla zespołów, które wciąż pracują nad aktualizacją: w sekcji Administracja > Bezpieczeństwo > Role odznacz uprawnienie TransferFiles w każdej roli grupy sesji. To tymczasowo zmniejsza ryzyko, ale nie zastępuje aktualizacji do wersji 26.6.5.

Ze względu na potwierdzone wykorzystywanie luki od końca sierpnia oraz upływ federalnego terminu naprawy, potraktuj tę aktualizację jako zadanie o najwyższym priorytecie dla każdego MSP korzystającego z lokalnej wersji ScreenConnect, a nie jako rutynową czynność w oknie serwisowym.

Źródła: biuletyn bezpieczeństwa ConnectWise, SecurityWeek.