Résumé

  • Le délai de remédiation fixé au 14 septembre par la CISA a expiré pour les agences fédérales touchées par la faille ScreenConnect activement exploitée
  • ConnectWise indique que le composant vulnérable est le client, ce qui signifie que les clients hôtes et les agents d’accès doivent encore être mis à jour, même lorsque les serveurs cloud le sont déjà

Les faits

Le délai de remédiation fixé au 14 septembre par la CISA a expiré pour les agences civiles fédérales américaines concernées par CVE-2026-84869, une vulnérabilité ScreenConnect activement exploitée ajoutée le 11 septembre au catalogue Known Exploited Vulnerabilities de la CISA. Ce délai s’applique aux agences fédérales visées, et non aux organisations privées.

ConnectWise indique que la faille touche le client ScreenConnect et peut, dans certaines conditions, permettre le transfert et l’exécution de fichiers au cours d’une session distante active sans l’autorisation ou la confirmation normalement attendues de la part de l’hôte. Les serveurs ScreenConnect ne constituent pas le composant vulnérable, et l’entreprise a publié la version 26.6.5 pour corriger le problème.

Pour les clients cloud, ConnectWise indique que la partie serveur a déjà été mise à jour, mais que les clients hôtes et les agents d’accès doivent encore l’être. Les exploitants qui exécutent ScreenConnect sur leurs propres serveurs doivent également suivre les instructions de mise à niveau du fournisseur. Huntress a, de son côté, signalé des attaques impliquant des clients ScreenConnect non autorisés ou modifiés, mais ces incidents ne montrent pas que toutes les installations légitimes ont été compromises.

L’analyse

Comme le composant vulnérable se trouve côté client, un serveur mis à jour ne permet pas de savoir si le correctif a été appliqué à chaque ordinateur utilisant ScreenConnect. Un prestataire peut avoir son service central à jour alors que certaines machines de ses clients exécutent encore un logiciel qui doit être mis à jour.

L’inventaire des terminaux est donc important. Les prestataires de support doivent savoir quels clients hôtes et agents d’accès ont été mis à jour et lesquels restent en attente. Cela peut devenir plus difficile lorsque le logiciel est réparti entre plusieurs environnements clients, notamment lorsque chaque organisation décide du moment où ses machines peuvent être modifiées.

Les constatations de Huntress montrent également pourquoi la mise à jour et l’enquête sont deux tâches distinctes. Si une activité suspecte a déjà été détectée, l’installation du logiciel corrigé traite la vulnérabilité, mais ne permet pas d’établir ce qui s’est produit avant la mise à jour.

Pour les lecteurs de BTW, considérer la remédiation comme achevée suppose de pouvoir rendre compte de l’état du logiciel client sur toutes les machines prises en charge, et pas seulement de confirmer que le service central ScreenConnect est à jour. Un relevé des terminaux mis à jour et des exceptions non résolues donne aux clients une vision plus claire des domaines où des travaux de remédiation restent nécessaires.

À surveiller

Il faudra vérifier si les prestataires peuvent rendre compte des versions des clients hôtes et des agents d’accès sur les systèmes qu’ils prennent en charge, y compris les machines qui attendent encore une mise à jour. Lorsqu’une activité ScreenConnect suspecte a été détectée, les conclusions tirées de la réponse à l’incident seront également importantes, car une mise à niveau ne permet pas à elle seule de déterminer si un système avait été compromis auparavant.