• CISA 针对正在遭利用的 ScreenConnect 漏洞，为受影响联邦机构设定的 9 月 14 日修复期限已经过去
  • ConnectWise 表示，存在漏洞的是客户端组件；这意味着即使云端服务器已是最新版本，主机客户端和访问代理仍需更新

事实

CISA 为受 CVE-2026-84869 影响的美国联邦文职机构设定的 9 月 14 日修复期限已经过去。这一 ScreenConnect 漏洞正遭利用，CISA 于 9 月 11 日将其加入 Known Exploited Vulnerabilities（已知遭利用漏洞）目录。该期限只适用于受相关要求约束的联邦机构，而非私营组织。

ConnectWise 表示，该漏洞影响 ScreenConnect 客户端，并可能在特定条件下允许文件在进行中的远程会话期间被传输和执行，而无需主机端按预期授权或确认。ScreenConnect 服务器并非存在漏洞的组件，该公司已发布 26.6.5 版本来解决这一问题。

对于云服务客户，ConnectWise 表示服务器端已经更新，但主机客户端和访问代理仍需完成更新。在自有服务器上运行 ScreenConnect 的运营方也必须遵循供应商的升级说明。Huntress 另行报告了涉及恶意或经修改 ScreenConnect 客户端的攻击，但这些事件并不表明所有合法安装实例都已遭入侵。

分析

由于存在漏洞的组件位于客户端侧，服务器完成更新并不能说明修复是否已覆盖每台使用 ScreenConnect 的计算机。服务商的中央服务可以运行当前版本，而一些客户设备仍在运行需要更新的软件。

因此，端点清单十分重要。支持服务商需要知道哪些主机客户端和访问代理已经更新，哪些仍未完成。当软件分布在多个客户环境中时，这项工作会更加困难，尤其是在各组织自行决定何时可以对其设备进行更改的情况下。

Huntress 的报告还提醒人们，补丁修复与事件响应回答的是不同问题。更新客户端可以封堵这个已知漏洞。如果某台设备已经出现可疑的 ScreenConnect 活动，服务商仍需核查更新前发生了什么，以及系统是否还发生了其他更改。

对于 BTW 读者而言，中央服务显示为最新版本，并不意味着工作已经完成。服务商需要明确哪些客户设备已经更新、哪些仍未完成，以及是否有设备需要进一步调查。这些信息构成客户判断问题是否真正得到控制的证据。

后续关注

需关注服务商能否清楚说明其所支持系统中的主机客户端和访问代理版本，包括哪些设备仍在等待更新。如果发现可疑的 ScreenConnect 活动，事件响应调查结果也很重要，因为仅靠升级无法确定系统此前是否已遭入侵。