Falha do ScreenConnect explorada desde agosto — atualize clientes e agentes para 26.6.5+

A ConnectWise publicou um boletim de prioridade 1 (elevada) para CVE-2026-84869, uma falha CVSS 9.9 no ScreenConnect que afeta os clientes de acesso remoto e os agentes de acesso. De acordo com o fabricante, os servidores não são afetados, mas o problema do lado do cliente já foi explorado ativamente.

O que a falha permite

A vulnerabilidade, classificada como CWE-862 (ausência de autorização) e CWE-269 (gestão inadequada de privilégios), pode permitir que ficheiros sejam transferidos e executados através de uma sessão de acesso remoto ativa sem autorização ou confirmação do sistema anfitrião em determinadas condições. A Huntress relatou que a falha tem vindo a ser explorada desde 20 de agosto, documentando três incidentes em que os atacantes distribuíram cargas maliciosas em VBScript através de sessões do ScreenConnect comprometidas. A CISA adicionou CVE-2026-84869 ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas em 11 de setembro, com um prazo federal de remediação de 14 de setembro — já ultrapassado.

O que corrigir e como

As implementações do ScreenConnect Cloud já foram atualizadas automaticamente. As implementações no local (on-premise) têm de estar na versão 25.4 ou posterior antes de poderem atualizar para a versão corrigida 26.6.5, e os administradores também têm de reinstalar os clientes do sistema anfitrião e os agentes de acesso para aplicarem a correção — atualizar apenas o servidor não é suficiente.

A ConnectWise oferece uma mitigação provisória para as equipas que ainda estão a concluir a atualização: em Administração > Segurança > Funções, desmarque a permissão TransferFiles em cada função de grupo de sessões. Isto reduz o risco temporariamente, mas não substitui a atualização para a versão 26.6.5.

Dada a exploração confirmada desde o final de agosto e o fim do prazo federal, trate esta situação como uma correção de prioridade imediata para qualquer MSP que execute o ScreenConnect no local, e não como um item de rotina da janela de manutenção.

Fontes: Boletim de segurança da ConnectWise, SecurityWeek.