Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-84869 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-09-11 |
| Producent | ConnectWise |
| Produkt | ScreenConnect |
| CVSS Score | 9.9 (Krytyczny) |
| EPSS Score | 0.7% (percentyl: 51%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-09-14 |
Opis podatności
Źródło: CISA KEV
ConnectWise ScreenConnect zawiera dwie współwystępujące podatności: niewłaściwe zarządzanie uprawnieniami (improper privilege management) oraz brak kontroli autoryzacji (missing authorization).
Razem pozwalają one atakującemu przesłać i uruchomić pliki przez aktywną sesję zdalną — bez autoryzacji i bez potwierdzenia po stronie hosta. Znikają więc obie bariery, na których zwykle opiera się zaufanie do narzędzia zdalnego wsparcia: kontrola uprawnień operatora i świadoma zgoda użytkownika na przesłanie pliku.
Kluczowy jest warunek wstępny: potrzebna jest aktywna sesja zdalna. To ogranicza zasięg — podatność nie jest samodzielnym wektorem wejścia z internetu — ale jednocześnie wskazuje, gdzie leży ryzyko. Narzędzia zdalnego dostępu tej klasy są używane przez dostawców wsparcia IT do obsługi wielu organizacji naraz, więc kompromitacja po stronie operatora przekłada się na możliwość uruchamiania kodu u jego klientów. To znany schemat, w którym zaufane narzędzie administracyjne staje się drogą dystrybucji.
Wymagane działania
Zastosuj środki zaradcze zgodnie z instrukcjami producenta, zachowując zgodność z dyrektywą CISA BOD 26-04 („Prioritizing Security Updates Based on Risk”) oraz wytycznymi CISA „Forensics Triage Requirements”. W przypadku usług chmurowych postępuj według właściwych zapisów BOD 26-04, a jeżeli środki zaradcze nie są dostępne — zaprzestań korzystania z produktu.
Ocena ekspozycji każdego zasobu na dostęp z internetu oraz przestrzeganie zasad aktualizacji wynikających z BOD 26-04 pozostają po stronie organizacji.
Kogo dotyczy?
Podatność dotyczy organizacji korzystających z ConnectWise ScreenConnect — zarówno tych, które utrzymują własną instancję, jak i tych, u których narzędzia tego używa zewnętrzny dostawca wsparcia IT.
Ten drugi przypadek jest łatwy do przeoczenia w inwentaryzacji, bo oprogramowanie nie figuruje w rejestrze systemów organizacji — a mimo to agent działa na jej stacjach. Jeżeli korzystasz ze wsparcia zewnętrznego, zapytaj dostawcę wprost o wersję jego instancji ScreenConnect i datę wgrania poprawki.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
