انقضت مهلة CISA لمعالجة ثغرة مستغلة في ScreenConnect

• انقضت مهلة المعالجة التي حددتها CISA في ١٤ سبتمبر للوكالات الفيدرالية المتأثرة بثغرة ScreenConnect التي يجري استغلالها فعلياً
• تقول ConnectWise إن المكون المعرض للثغرة هو برنامج العميل، ما يعني أن برامج عميل المضيف ووكلاء الوصول لا تزال بحاجة إلى التحديث حتى عندما تكون الخوادم السحابية محدثة

الوقائع

انقضت مهلة المعالجة التي حددتها CISA في ١٤ سبتمبر للوكالات المدنية الفيدرالية في الولايات المتحدة المتأثرة بالثغرة CVE-2026-84869 في ScreenConnect، وهي ثغرة يجري استغلالها فعلياً وأضيفت إلى كتالوج Known Exploited Vulnerabilities التابع للوكالة في ١١ سبتمبر. وتنطبق المهلة على الوكالات الفيدرالية المشمولة، لا على المؤسسات الخاصة.

تقول ConnectWise إن الثغرة تؤثر في برنامج عميل ScreenConnect، ويمكنها، في ظروف معينة، أن تسمح بنقل الملفات وتنفيذها أثناء جلسة نشطة عن بعد من دون التفويض أو التأكيد المتوقع من المضيف. وليست خوادم ScreenConnect هي المكون المعرض للثغرة، وقد أصدرت الشركة الإصدار 26.6.5 لمعالجة المشكلة.

بالنسبة إلى عملاء الخدمة السحابية، تقول ConnectWise إن جانب الخادم جرى تحديثه بالفعل، لكن برامج عميل المضيف ووكلاء الوصول لا تزال بحاجة إلى التحديث. وعلى المشغلين الذين يشغلون ScreenConnect على خوادمهم الخاصة أيضاً اتباع تعليمات الترقية الصادرة عن المورد. وأفادت Huntress بصورة منفصلة بهجمات شملت برامج عميل ScreenConnect غير مصرح بها أو معدلة، لكن هذه الحوادث لا تظهر أن كل عملية تثبيت مشروعة قد تعرضت للاختراق.

التقييم

لأن المكون المعرض للثغرة يقع على جانب العميل، فإن الخادم المحدث لا يبين ما إذا كان الإصلاح قد وصل إلى كل جهاز كمبيوتر يستخدم ScreenConnect. فقد تكون الخدمة المركزية لدى مقدم الخدمة على الإصدار الحالي، بينما تظل بعض أجهزة العملاء تشغل برمجيات تحتاج إلى التحديث.

وهذا يجعل جرد نقاط النهاية مهماً. إذ يحتاج مقدمو خدمات الدعم إلى معرفة برامج عميل المضيف ووكلاء الوصول التي جرى تحديثها، وتلك التي لا تزال بانتظار التحديث. وقد يصبح ذلك أكثر صعوبة عندما تكون البرمجيات موزعة على عدة بيئات للعملاء، ولا سيما حين تتحكم كل مؤسسة في توقيت إجراء تغييرات على أجهزتها.

ويمثل ما أوردته Huntress تذكيراً أيضاً بأن تطبيق التصحيحات والاستجابة للحوادث يجيبان عن سؤالين مختلفين. فتحديث برنامج العميل يسد الثغرة المعروفة. أما إذا أظهر جهاز بالفعل نشاطاً مريباً مرتبطاً ببرنامج ScreenConnect، فلا يزال على مقدم الخدمة التحقق مما حدث قبل التحديث وما إذا كان قد جرى تغيير أي شيء آخر.

بالنسبة إلى قراء BTW، لا تنتهي المهمة عندما تظهر الخدمة المركزية أحدث إصدار. على مقدمي الخدمات معرفة أجهزة العملاء التي جرى تحديثها، والتي لا تزال بانتظار التحديث، وما إذا كان أي منها يحتاج إلى مزيد من التحقيق. وهذه هي الأدلة التي يمكن للعملاء استخدامها للحكم على ما إذا كانت المشكلة قد احتُويت فعلياً.

ما ينبغي مراقبته

ينبغي متابعة ما إذا كان مقدمو الخدمات قادرين على حصر إصدارات برامج عميل المضيف ووكلاء الوصول عبر الأنظمة التي يدعمونها، بما في ذلك الأجهزة التي لا تزال تنتظر التحديث. وعند العثور على نشاط مريب مرتبط ببرنامج ScreenConnect، ستكون نتائج الاستجابة للحوادث مهمة أيضاً، لأن الترقية وحدها لا يمكن أن تحدد ما إذا كان النظام قد تعرض للاختراق قبلها.