Критическую уязвимость ScreenConnect уже используют в атаках

Американское Агентство по кибербезопасности и защите инфраструктуры (CISA) сообщило, что злоумышленники начали активно использовать критическую уязвимость в платформе удалённого доступа ConnectWise ScreenConnect. Дефект получил идентификатор CVE-2026-84869 и устранён в версии 26.6.5 и новее.

Суть уязвимости

Проблема связана с отсутствием проверки авторизации и некорректным управлением привилегиями. По формулировке CISA, брешь позволяет передавать и запускать файлы в рамках активной удалённой сессии без авторизации и без подтверждения со стороны хоста. Атака отличается низкой сложностью и не требует участия пользователя — достаточно базовых привилегий.

Ещё 7 сентября ConnectWise опубликовала временные меры защиты, посоветовав отключить разрешения TransferFiles, чтобы заблокировать возможные атаки. В минувшую пятницу CISA внесла уязвимость в каталог активно эксплуатируемых и предписала федеральным ведомствам США закрыть её в течение трёх дней.

Масштаб угрозы

Служба мониторинга Shadowserver насчитывает свыше тысячи экземпляров ScreenConnect, которые до сих пор не обновлены и доступны из интернета. Большинство из них находятся в Северной Америке (758) и Европе (180).

Для ScreenConnect это далеко не первая беда. С 2024 года CISA пометила как активно эксплуатируемые уже четыре уязвимости продукта, причём две из них применялись в атаках программ-вымогателей. В 2024 году другую брешь (CVE-2024-1709) использовали как связанная с КНДР группировка Kimsuky, так и несколько вымогательских банд.

Список инцидентов на этом не заканчивается. В прошлом году ConnectWise пришлось сменить сертификаты подписи кода после того, как предположительно государственные хакеры проникли в её системы через уязвимость ViewState (CVE-2025-3935) и получили доступ к облачным экземплярам ограниченного числа клиентов. А в марте компания закрыла ещё одну уязвимость (CVE-2026-3564), связанную с проверкой криптографической подписи и позволявшую перехватывать управление необновлёнными серверами.

Ставки высоки: услугами ConnectWise пользуются более 100 тысяч ИТ-провайдеров по всему миру. Многие поставщики управляемых услуг (MSP) и корпоративные ИТ-команды применяют ScreenConnect для диагностики, установки обновлений и обслуживания систем — то есть уязвимость открывает злоумышленникам путь сразу ко множеству чужих инфраструктур.

Источник: Bleeping Computer