• Terminou o prazo de 14 de setembro definido pela CISA para que as agências federais afetadas corrigissem a falha do ScreenConnect explorada ativamente
  • A ConnectWise afirma que o componente vulnerável é o software cliente, o que significa que os clientes de host e os agentes de acesso ainda precisam ser atualizados, mesmo quando os servidores em nuvem já estão em dia

O fato

Terminou o prazo de correção de 14 de setembro definido pela CISA para as agências civis federais dos Estados Unidos afetadas pela CVE-2026-84869, uma vulnerabilidade do ScreenConnect explorada ativamente e adicionada em 11 de setembro ao catálogo Known Exploited Vulnerabilities da agência. O prazo se aplica às agências federais abrangidas, e não a organizações privadas.

A ConnectWise afirma que a falha afeta o software cliente do ScreenConnect e que, sob determinadas condições, pode permitir que arquivos sejam transferidos e executados durante uma sessão remota ativa sem a autorização ou confirmação esperada por parte do host. Os servidores do ScreenConnect não são o componente vulnerável, e a empresa lançou a versão 26.6.5 para corrigir o problema.

Para clientes de nuvem, a ConnectWise afirma que o lado do servidor já foi atualizado, mas os clientes de host e os agentes de acesso ainda precisam ser atualizados. Os operadores que executam o ScreenConnect em servidores próprios também devem seguir as instruções de atualização do fornecedor. A Huntress relatou, separadamente, ataques envolvendo clientes do ScreenConnect não autorizados ou modificados, mas esses incidentes não demonstram que todas as instalações legítimas tenham sido comprometidas.

A avaliação

Como o componente vulnerável fica no lado do cliente, um servidor atualizado não permite saber se a correção chegou a todos os computadores que usam o ScreenConnect. Um provedor pode manter seu serviço central na versão atual enquanto algumas máquinas de clientes ainda executam software que precisa ser atualizado.

Por isso, o inventário de endpoints é importante. Os provedores de suporte precisam saber quais clientes de host e agentes de acesso foram atualizados e quais continuam pendentes. Isso pode se tornar mais difícil quando o software está distribuído por vários ambientes de clientes, especialmente nos casos em que cada organização controla quando suas máquinas podem ser alteradas.

As informações publicadas pela Huntress também lembram que a aplicação de correções e a resposta a incidentes respondem a perguntas diferentes. Atualizar o software cliente corrige a falha conhecida. Se uma máquina já apresentou atividade suspeita do ScreenConnect, o provedor ainda precisa verificar o que ocorreu antes da atualização e se algo mais foi alterado.

Para os leitores da BTW, o trabalho não termina quando o serviço central exibe a versão mais recente. Os provedores precisam saber quais máquinas de clientes foram atualizadas, quais continuam pendentes e se alguma exige investigação adicional. Essas são as evidências que os clientes podem usar para avaliar se o problema foi realmente contido.

O que observar

Observe se os provedores conseguem mapear as versões dos clientes de host e dos agentes de acesso em todos os sistemas aos quais dão suporte, inclusive as máquinas que ainda aguardam atualização. Nos casos em que foi encontrada atividade suspeita do ScreenConnect, as conclusões da resposta a incidentes também serão relevantes, pois uma atualização, por si só, não permite determinar se um sistema já havia sido comprometido.