严重 ScreenConnect 漏洞现已在攻击中遭到积极利用

据美国网络安全和基础设施安全局 (CISA) 称，攻击者现已在实际环境中利用一个严重级别的 ConnectWise ScreenConnect 漏洞。

ConnectWise 于 9 月 7 日分享了针对这一缺少授权缺陷的临时缓解措施，建议安全团队禁用 TransferFiles 权限以阻止潜在攻击。

该漏洞（现被追踪为 CVE-2026-84869，已在 ScreenConnect 26.6.5 及更高版本中修复）影响 ScreenConnect 客户端，可让具备基本权限的威胁行为者在低复杂度、无需用户交互的攻击中传输或执行文件。

CISA 于周五将该安全缺陷添加至其已被积极利用的漏洞目录，并命令美国联邦机构在三天内加固其系统以抵御正在进行的攻击。

"ConnectWise ScreenConnect 同时包含一个不当权限管理漏洞和一个缺少授权漏洞，可能允许攻击者在无需授权或主机确认的情况下，通过活跃的远程会话进行文件传输和执行，"CISA 表示。"此类漏洞是恶意网络行为者的常见攻击途径，对联邦企业构成重大风险。"

自 2024 年以来，CISA 已将四个 ScreenConnect 安全问题标记为遭到积极利用，其中两个还在勒索软件攻击中被滥用。

互联网威胁监测机构 Shadowserver 目前追踪到 1,000 多个仍未打补丁且暴露于在线攻击的 ScreenConnect 实例，其中大多数位于北美（758 个）和欧洲（180 个）。

ScreenConnect 漏洞在实际环境中经常同时受到以经济利益为动机的黑客组织和国家级黑客组织的攻击。

例如，朝鲜支持的 Kimsuky 黑客组织和多个勒索软件团伙在 2024 年利用了另一个 ScreenConnect 漏洞 (CVE-2024-1709)。

去年，ConnectWise 还轮换了其数字代码签名证书，此前它披露疑似国家支持的黑客通过利用 ViewState 漏洞 (CVE-2025-3935) 的代码注入攻击入侵其系统，并访问了少量客户的云端实例。

更近一些，在今年 3 月，ConnectWise 修复了一个加密签名验证漏洞 (CVE-2026-3564)，该漏洞可让攻击者劫持未打补丁的 ScreenConnect 服务器。

ConnectWise 为全球超过 10 万家 IT 提供商提供服务，众多托管服务提供商 (MSP) 和 IT 团队使用其 ScreenConnect 远程访问平台进行故障排查、补丁管理和系统维护。