• Die CISA-Frist zur Behebung am 14. September ist für Bundesbehörden verstrichen, die von der aktiv ausgenutzten ScreenConnect-Schwachstelle betroffen sind
  • ConnectWise zufolge ist der Client die anfällige Komponente; daher müssen Host-Clients und Zugriffsagenten auch dann noch aktualisiert werden, wenn die Cloud-Server auf dem neuesten Stand sind

Der Sachverhalt

Die von CISA gesetzte Frist zur Behebung am 14. September ist für zivile US-Bundesbehörden verstrichen, die von CVE-2026-84869 betroffen sind. Die aktiv ausgenutzte ScreenConnect-Schwachstelle wurde am 11. September in den Known Exploited Vulnerabilities-Katalog von CISA aufgenommen. Die Frist gilt für die unter die Vorgabe fallenden Bundesbehörden, nicht für private Organisationen.

ConnectWise zufolge betrifft die Schwachstelle den ScreenConnect-Client und kann unter bestimmten Bedingungen ermöglichen, dass Dateien während einer aktiven Fernzugriffssitzung ohne die erwartete Autorisierung oder Bestätigung durch den Host übertragen und ausgeführt werden. Die ScreenConnect-Server sind nicht die anfällige Komponente; das Unternehmen hat Version 26.6.5 zur Behebung des Problems veröffentlicht.

Für Cloud-Kunden ist die Serverseite laut ConnectWise bereits aktualisiert worden, Host-Clients und Zugriffsagenten müssen jedoch weiterhin aktualisiert werden. Betreiber, die ScreenConnect auf eigenen Servern ausführen, müssen außerdem die Upgrade-Anweisungen des Anbieters befolgen. Huntress hat gesondert über Angriffe unter Einsatz nicht autorisierter oder modifizierter ScreenConnect-Clients berichtet; diese Vorfälle belegen jedoch nicht, dass jede legitime Installation kompromittiert wurde.

Die Bewertung

Da sich die anfällige Komponente auf der Clientseite befindet, lässt ein aktualisierter Server nicht erkennen, ob die Fehlerbehebung auf jedem Computer umgesetzt wurde, der ScreenConnect nutzt. Ein Anbieter kann seinen zentralen Dienst auf dem aktuellen Versionsstand betreiben, während auf einigen Kundenrechnern weiterhin Software läuft, die aktualisiert werden muss.

Deshalb ist eine vollständige Bestandsübersicht der Endgeräte wichtig. Supportanbieter müssen wissen, welche Host-Clients und Zugriffsagenten aktualisiert wurden und bei welchen die Aktualisierung noch aussteht. Das kann schwieriger werden, wenn die Software über mehrere Kundenumgebungen verteilt ist, insbesondere wenn einzelne Organisationen selbst bestimmen, wann Änderungen an ihren Rechnern vorgenommen werden dürfen.

Die Berichterstattung von Huntress erinnert außerdem daran, dass das Einspielen von Patches und die Reaktion auf Sicherheitsvorfälle unterschiedliche Fragen beantworten. Mit der Aktualisierung des Clients wird die bekannte Schwachstelle geschlossen. Wenn ein Rechner bereits verdächtige ScreenConnect-Aktivitäten gezeigt hat, muss der Anbieter dennoch prüfen, was vor dem Update geschehen ist und ob darüber hinaus etwas verändert wurde.

Für BTW-Leser ist die Aufgabe nicht abgeschlossen, sobald der zentrale Dienst die neueste Version anzeigt. Anbieter müssen wissen, welche Kundenrechner aktualisiert wurden, bei welchen die Aktualisierung noch aussteht und ob bei einigen weitere Untersuchungen erforderlich sind. Diese Evidenz können Kunden heranziehen, um zu beurteilen, ob das Problem tatsächlich eingedämmt wurde.

Worauf zu achten ist

Zu beobachten ist, ob Anbieter einen vollständigen Überblick über die Versionen der Host-Clients und Zugriffsagenten in allen von ihnen unterstützten Systemen vorlegen können, einschließlich der Rechner, deren Aktualisierung noch aussteht. Wo verdächtige ScreenConnect-Aktivitäten festgestellt wurden, sind auch die Erkenntnisse aus der Reaktion auf den Sicherheitsvorfall relevant, denn ein Upgrade allein kann nicht klären, ob ein System zuvor kompromittiert wurde.