• Срок устранения уязвимости до 14 сентября, установленный CISA, истёк для федеральных агентств, затронутых активно эксплуатируемой уязвимостью в ScreenConnect
  • ConnectWise сообщает, что уязвимый компонент — клиент, поэтому клиентские приложения и агенты доступа требуют обновления даже там, где облачные серверы уже актуальны

Факт

Срок устранения уязвимости до 14 сентября, установленный CISA, истёк для затронутых федеральных гражданских агентств США в связи с CVE-2026-84869 — активно эксплуатируемой уязвимостью ScreenConnect, добавленной 11 сентября в каталог известных эксплуатируемых уязвимостей. Срок распространяется на охватываемые федеральные агентства, а не на частные организации.

По данным ConnectWise, уязвимость затрагивает клиент ScreenConnect и при определённых условиях может позволить передавать и запускать файлы во время активного удалённого сеанса без ожидаемой авторизации или подтверждения со стороны хоста. Уязвимым компонентом не являются серверы ScreenConnect, и компания выпустила версию 26.6.5 для устранения проблемы.

Для облачных клиентов ConnectWise сообщает, что серверная сторона уже обновлена, однако клиентские приложения и агенты доступа всё ещё требуют обновления. Операторы, самостоятельно размещающие ScreenConnect на своих серверах, также должны следовать инструкциям производителя по обновлению. Huntress отдельно сообщала об атаках с использованием посторонних или модифицированных клиентов ScreenConnect, однако эти инциденты не означают, что каждая легитимная установка скомпрометирована.

Оценка

Поскольку уязвимый компонент находится на стороне клиента, обновлённый сервер не показывает, достигло ли исправление каждого компьютера с ScreenConnect. У провайдера центральный сервис может быть на актуальной версии, тогда как часть машин клиентов всё ещё работает с ПО, требующим обновления.

Поэтому важна инвентаризация конечных точек. Провайдерам поддержки необходимо знать, какие клиентские приложения и агенты доступа обновлены, а какие ещё нет. Это становится сложнее, когда ПО распределено по нескольким средам клиентов, особенно там, где отдельные организации сами определяют, когда их машины можно менять.

Сообщения Huntress также напоминают, что установка исправлений и реагирование на инциденты отвечают на разные вопросы. Обновление клиента закрывает известную уязвимость. Но если машина уже проявляла подозрительную активность ScreenConnect, провайдеру всё равно нужно выяснить, что происходило до обновления и не было ли изменено что-то ещё.

Для читателей BTW работа не завершена, когда центральный сервис показывает новейшую версию. Провайдерам нужно знать, какие машины клиентов обновлены, какие ещё нет и требуют ли какие-либо из них дополнительного расследования. Именно эти данные позволят клиентам судить, действительно ли проблема локализована.

За чем следить

Следите за тем, могут ли провайдеры подтвердить версии клиентских приложений и агентов доступа во всех системах, которые они обслуживают, включая машины, ещё ожидающие обновления. Там, где обнаружена подозрительная активность ScreenConnect, значение будут иметь и результаты реагирования на инциденты, поскольку одно обновление не позволяет установить, была ли система скомпрометирована ранее.