ScreenConnect-sårbarhet utnyttjad sedan augusti – uppdatera till 26.6.5+

ConnectWise har publicerat en säkerhetsbulletin med prioritet 1 (hög) för CVE-2026-84869, en CVSS 9.9-sårbarhet i ScreenConnect som påverkar fjärråtkomstklienter och accessagenter. Enligt leverantören påverkas inte servrar, men klientsidesproblemet har redan utnyttjats i det vilda.

Vad sårbarheten möjliggör

Sårbarheten, som klassificeras under CWE-862 (saknad auktorisering) och CWE-269 (felaktig behörighetshantering), kan under vissa förhållanden göra att filer överförs och körs genom en aktiv fjärråtkomstsession utan auktorisering eller värdbekräftelse. Huntress har rapporterat att sårbarheten har utnyttjats sedan den 20 augusti och dokumenterat tre incidenter där angripare distribuerade skadliga VBScript-nyttolaster genom komprometterade ScreenConnect-sessioner. CISA lade till CVE-2026-84869 i sin katalog över kända utnyttjade sårbarheter (KEV) den 11 september, med en federal tidsfrist för åtgärd den 14 september – redan passerad.

Vad som ska uppdateras, och hur

ScreenConnect Cloud-distributioner har redan uppdaterats automatiskt. On-premise-distributioner måste köra version 25.4 eller senare innan de kan uppgradera till den korrigerade versionen 26.6.5, och administratörer måste dessutom installera om värdklienter och accessagenter för att få åtgärden – att bara uppdatera servern räcker inte.

ConnectWise erbjuder en tillfällig åtgärd för team som fortfarande arbetar med uppgraderingen: under Administration > Säkerhet > Roller avmarkerar du behörigheten TransferFiles för varje sessionsgruppsroll. Detta minskar risken tillfälligt men ersätter inte uppdateringen till 26.6.5.

Med tanke på bekräftad exploatering sedan slutet av augusti och en passerad federal tidsfrist bör detta behandlas som en uppdatering med omedelbar prioritet för alla MSP:er som kör ScreenConnect on-premise, inte som en rutinåtgärd i ett underhållsfönster.

Källor: ConnectWises säkerhetsbulletin, SecurityWeek.