要点

  • 実際の攻撃で悪用されている ScreenConnect の脆弱性について、影響を受ける連邦機関向けに CISA が定めた9月14日の修正期限が経過した
  • ConnectWise は、脆弱なのはクライアント側のコンポーネントだとしており、クラウドサーバーが最新でも、ホストクライアントとアクセスエージェントは引き続き更新する必要がある

事実

実際の攻撃で悪用されている ScreenConnect の脆弱性 CVE-2026-84869 について、影響を受ける米国の連邦文民機関に対する CISA の9月14日の修正期限が経過した。この脆弱性は9月11日、CISA の Known Exploited Vulnerabilities カタログに追加された。期限の対象は該当する連邦機関であり、民間組織ではない。

ConnectWise によると、この脆弱性は ScreenConnect クライアントに影響し、特定の条件下では、実行中のリモートセッションで、ホスト側に本来求められる承認または確認を経ずにファイルを転送・実行できる可能性がある。ScreenConnect サーバーは脆弱なコンポーネントではなく、同社はこの問題に対処するバージョン26.6.5を公開した。

クラウドサービスの顧客について、ConnectWise はサーバー側がすでに更新済みだとしているが、ホストクライアントとアクセスエージェントはなお更新が必要である。ScreenConnect を自社サーバーで運用する事業者も、ベンダーのアップグレード手順に従う必要がある。Huntress は別途、不正または改変された ScreenConnect クライアントが関与する攻撃を報告しているが、これらの事例は、正規のインストールがすべて侵害されたことを示すものではない。

評価

脆弱なコンポーネントがクライアント側にあるため、サーバーが更新済みでも、ScreenConnect を使用するすべてのコンピューターに修正が適用されたかどうかは確認できない。事業者の中央サービスが現行版になっていても、一部の顧客端末では更新が必要なソフトウェアが引き続き稼働している可能性がある。

そのため、端末の管理台帳が重要になる。サポート事業者は、どのホストクライアントとアクセスエージェントが更新済みで、どれが未対応かを把握する必要がある。ソフトウェアが複数の顧客環境に分散している場合、特に各組織が自社端末を変更できる時期を管理している場合には、把握が難しくなり得る。

Huntress の調査結果は、更新と調査が別々の作業である理由も示している。不審な活動がすでに検出されている場合、修正版ソフトウェアの導入で脆弱性には対処できるが、更新前に何が起きたかまでは明らかにできない。

BTW の読者にとって、対応完了とは、中央の ScreenConnect サービスが最新であることを確認するだけでなく、サポート対象端末全体のクライアントソフトウェアを把握できる状態を意味する。更新済み端末と未解決の例外を記録すれば、修正作業がなお必要な箇所を顧客がより明確に把握できる。

注目点

事業者が、更新待ちの端末も含め、サポート対象システム全体でホストクライアントとアクセスエージェントのバージョンを把握できているかに注目する。不審な ScreenConnect の活動が見つかった場合は、アップグレードだけでは事前にシステムが侵害されていたかどうかを判断できないため、インシデント対応の調査結果も重要になる。