• Ha vencido el plazo del 14 de septiembre fijado por CISA para que las agencias federales afectadas corrijan la vulnerabilidad de ScreenConnect que se está explotando activamente
  • ConnectWise afirma que el componente vulnerable es el cliente de software, lo que significa que los clientes host y los agentes de acceso aún deben actualizarse incluso cuando los servidores en la nube ya estén al día

El hecho

Ha vencido el plazo del 14 de septiembre fijado por CISA para que las agencias civiles federales de Estados Unidos afectadas por CVE-2026-84869 corrijan esta vulnerabilidad de ScreenConnect, que se está explotando activamente y que fue añadida al catálogo Known Exploited Vulnerabilities de CISA el 11 de septiembre. El plazo se aplica a las agencias federales incluidas en el ámbito de la medida, no a las organizaciones privadas.

ConnectWise afirma que el fallo afecta al cliente de ScreenConnect y que, en determinadas condiciones, puede permitir que se transfieran y ejecuten archivos durante una sesión remota activa sin la autorización o confirmación previstas por parte del host. Los servidores de ScreenConnect no son el componente vulnerable y la empresa publicó la versión 26.6.5 para resolver el problema.

Para los clientes del servicio en la nube, ConnectWise afirma que la parte del servidor ya se ha actualizado, pero los clientes host y los agentes de acceso todavía deben actualizarse. Los operadores que ejecutan ScreenConnect en sus propios servidores también deben seguir las instrucciones de actualización del proveedor. Por separado, Huntress ha informado de ataques relacionados con clientes de ScreenConnect no autorizados o modificados, pero esos incidentes no demuestran que todas las instalaciones legítimas hayan sido comprometidas.

La evaluación

Como el componente vulnerable se encuentra en el lado del cliente, el hecho de que el servidor esté actualizado no demuestra que la corrección haya llegado a todos los equipos que utilizan ScreenConnect. Un proveedor puede tener su servicio central en la versión actual mientras algunos equipos de sus clientes siguen ejecutando software que necesita actualizarse.

Por eso resulta importante el inventario de equipos finales. Los proveedores de soporte necesitan saber qué clientes host y agentes de acceso se han actualizado y cuáles siguen pendientes. Esto puede resultar más difícil cuando el software está distribuido entre varios entornos de clientes, especialmente cuando cada organización controla cuándo pueden modificarse sus equipos.

La información publicada por Huntress también recuerda que la aplicación de parches y la respuesta a incidentes responden a preguntas diferentes. Actualizar el cliente corrige el fallo conocido. Si un equipo ya ha mostrado actividad sospechosa de ScreenConnect, el proveedor todavía debe comprobar qué ocurrió antes de la actualización y si se modificó algo más.

Para los lectores de BTW, el trabajo no termina cuando el servicio central muestra la versión más reciente. Los proveedores necesitan saber qué equipos de sus clientes se han actualizado, cuáles siguen pendientes y si alguno requiere una investigación adicional. Esa es la evidencia que los clientes pueden utilizar para juzgar si el problema ha quedado realmente contenido.

Qué vigilar

Observe si los proveedores pueden dar cuenta de las versiones de los clientes host y los agentes de acceso en todos los sistemas a los que prestan soporte, incluidos los equipos que aún están pendientes de actualización. Cuando se haya detectado actividad sospechosa de ScreenConnect, también serán importantes las conclusiones de la respuesta a incidentes, porque una actualización por sí sola no permite determinar si un sistema ya había sido comprometido.