Luka w kliencie ScreenConnect pozwala w pewnych okolicznościach przesłać i uruchomić pliki przez sesję zdalną bez zgody. CISA potwierdza ataki. Zaktualizuj do 26.6.5, przeinstaluj klientów i do tego czasu wyłącz przesyłanie plików.
Ten alert jest dla zarządu, CTO i CFO firm, które używają ConnectWise ScreenConnect do pomocy zdalnej, oraz firm korzystających z usług informatycznych dostawców pracujących na tym narzędziu. Werdykt: jeśli ScreenConnect jest starszy niż 26.6.5, zaktualizuj go dziś, a do czasu aktualizacji wyłącz przesyłanie plików w sesjach, bo CISA potwierdza ataki, w których pliki są uruchamiane przez sesję zdalną bez zgody.
Amerykańska agencja CISA 11 września 2026 roku dopisała CVE-2026-84869 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Dała agencjom federalnym trzy dni na naprawę i nakazała sprawdzić, czy do włamania nie doszło wcześniej.
Luka dotyczy klienta ScreenConnect, popularnego narzędzia do zdalnej pomocy i zarządzania komputerami. Według ConnectWise w pewnych okolicznościach pozwala przesłać i uruchomić pliki przez aktywną sesję zdalną bez autoryzacji i bez potwierdzenia po stronie hosta, także z podwyższonymi uprawnieniami. Sam serwer ScreenConnect nie jest podatny. ConnectWise wydał poprawkę 8 września 2026 roku. Wcześniej, od końca sierpnia, firma Huntress opisywała incydenty w wielu niezwiązanych organizacjach, w których zmodyfikowane klienty ScreenConnect rozsyłały i uruchamiały skrypty na kolejnych połączonych komputerach.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-84869 |
Data dodania do CISA KEV | 2026-09-11 |
Termin naprawy wg CISA | 2026-09-14 |
Produkt | ConnectWise ScreenConnect, klient (sesje Support i Access); serwery ScreenConnect nie są podatne |
Wersje zagrożone | Wszystkie wersje przed 26.6.5, zarówno w chmurze, jak i instalacje lokalne. Wymagana aktywna sesja zdalna |
Wersje bezpieczne | 26.6.5 lub nowsza (NVD precyzuje kompilację 26.6.5.9742). Chmura: serwery zaktualizowane przez ConnectWise, ale trzeba przeinstalować klienty hosta i zaktualizować agentów dostępu. Instalacje lokalne: aktualizacja do 26.6.5, przy licencji bez utrzymania najpierw odnowienie licencji |
Typ podatności | Brak autoryzacji (CWE-862) i niewłaściwe zarządzanie uprawnieniami (CWE-269) |
Ocena CVSS | 9.9 KRYTYCZNA (CVSS 3.1, ConnectWise; NVD przyjmuje ocenę producenta). Atak sieciowy, niskie uprawnienia (udział w sesji), bez udziału użytkownika, skutki poza samym komponentem. ConnectWise nadaje jednocześnie wagę Important i priorytet 1 High |
💡 Rozbieżność w ocenach: waga Important według ConnectWise oznacza, że luka wymaga dodatkowego dostępu lub okoliczności, a ocena CVSS 9.9 wskazuje na skutki krytyczne. Obie oceny są prawdziwe: atak wymaga aktywnej sesji, ale gdy do niej dojdzie, skutki są poważne. Priorytet 1 oznacza według producenta instalację jako zmianę awaryjną.
Wyobraź sobie dwie osoby rozmawiające przez okienko w szybie. Zasada jest prosta: przez okienko można podać dokument tylko wtedy, gdy druga strona się zgodzi. Okazało się, że okienko w pewnych sytuacjach przepuszcza paczki bez pytania, a paczka sama się otwiera po drugiej stronie. Jeśli po jednej stronie stoi oszust, druga dostaje niechcianą przesyłkę prosto na biurko.
W sesji ScreenConnect uczestniczą dwie strony: host i gość. Tytuł luki w rekordzie CVE mówi o uruchomieniu pliku od strony gościa na komputerze hosta, bez jego potwierdzenia. Sesja z przejętym lub podstawionym komputerem może więc stać się drogą ataku. Według Huntress przestępcy wykorzystywali zmodyfikowane klienty do rozsyłania skryptów na kolejne połączone komputery, co przypominało działanie robaka.
💡 ScreenConnect to narzędzie do pomocy zdalnej, używane przez działy IT i firmy świadczące usługi informatyczne (MSP). RMM to narzędzia do zdalnego monitorowania i zarządzania komputerami. Robak to złośliwy program, który sam rozprzestrzenia się na kolejne komputery. Socjotechnika to manipulacja ludźmi, np. fałszywy telefon „od wsparcia technicznego”. Dziennik audytu to zapis działań wykonanych w narzędziu.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Przesłanie pliku w sesji | Wymaga autoryzacji i potwierdzenia | W pewnych okolicznościach bez potwierdzenia |
Uruchomienie przesłanego pliku | Pod kontrolą hosta sesji | Może nastąpić bez jego zgody, także z podwyższonymi uprawnieniami |
Sesja z przejętym komputerem | Druga strona pozostaje bezpieczna | Przejęty komputer może przesłać plik do drugiej strony |
Kolejne sesje | Niezależne od siebie | Wg Huntress zagrożenie przechodziło na nowo połączone komputery |
Aktualizacja w chmurze | Wystarcza po stronie producenta | Trzeba też przeinstalować klienty i agentów |
źródło: Pexels, 112 Uttar PradeshPoniżej typowy przebieg ataku dla tej klasy podatności, dopasowany do incydentów opisanych przez Huntress. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie działa „z internetu” bez sesji: potrzebna jest aktywna sesja zdalna.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Socjotechnika | T+0 | Fałszywy telefon lub komunikat „wsparcia technicznego”, ofiara udostępnia komputer | Dostęp do komputera ofiary |
2. Instalacja narzędzia | T+minuty | Instalacja nieautoryzowanego klienta ScreenConnect i innych narzędzi RMM | Stały dostęp zdalny |
3. Sesja z innym komputerem | T+godziny do dni | Nawiązanie sesji z kolejnym komputerem | Aktywna sesja zdalna |
4. Wykorzystanie luki | T+sekundy od połączenia | Przesłanie i uruchomienie plików bez potwierdzenia | Kod przestępców na kolejnym komputerze |
5. Rozprzestrzenianie | T+dni | Powtarzanie schematu na nowo połączonych komputerach | Infekcja wielu organizacji |
Mogę Ci jakoś pomóc?
Narzędzia do pomocy zdalnej mają z założenia szeroki dostęp do komputerów. Jeśli Twoja firma korzysta z zewnętrznego dostawcy IT, jego narzędzia są jednocześnie drzwiami do Twojej sieci. Luka jest wykorzystywana, a według Huntress ataki objęły wiele niepowiązanych organizacji.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Czyszczenie i odbudowa zainfekowanych komputerów, przerwa w obsłudze IT | Dni | 20 tys. do 200 tys. PLN (przestój, odtworzenie) |
Bezpieczeństwo danych | Kradzież danych z komputerów po obu stronach sesji | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, ryzyko dalszych ataków na klientów lub dostawców | Tygodnie | 80 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, szczególnie gdy atak przeszedł przez dostawcę IT | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla ScreenConnect przed wersją 26.6.5
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE (firmy MSP i działy IT)
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie, bo CISA potwierdza wykorzystanie, a Huntress opisuje kampanię w wielu organizacjach; wpływ jest wysoki, a nie maksymalny, bo atak wymaga aktywnej sesji, a serwery ScreenConnect nie są podatne. Dla firm MSP obsługujących wielu klientów wpływ może być krytyczny.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zaktualizować instalacje lokalne ScreenConnect do wersji 26.6.5 lub nowszej | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | W chmurze i po aktualizacji: przeinstalować klienty hosta i zaktualizować agentów dostępu | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Do czasu aktualizacji wyłączyć uprawnienie TransferFiles we wszystkich rolach | Dziś | Administrator |
4 | 🔴 NATYCHMIAST | Przejrzeć dziennik audytu pod kątem uruchamiania plików od strony gościa sesji | Do jutra | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Wyszukać nieautoryzowane instalacje ScreenConnect i innych narzędzi RMM na komputerach firmy | Do 3 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Zapytać zewnętrznego dostawcę IT o wersję ScreenConnect i wykonane działania | Do 3 dni | CTO |
7 | 🟡 WAŻNIE | Przeszkolić pracowników z fałszywych telefonów „od wsparcia technicznego” | Do 30 dni | Kierownik IT |
ConnectWise wydał poprawkę 26.6.5. Obejście podane przez producenta to wyłączenie uprawnienia TransferFiles dla grup sesji w każdej roli; producent zaznacza, że nie zastępuje ono aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie uprawnienia TransferFiles w rolach (zalecenie ConnectWise) | Wysoka, ale utrudnia pracę działu wsparcia | Łatwa |
Łączenie się tylko z komputerami znanymi i zweryfikowanymi | Średnia | Średnia |
Blokowanie instalacji nieautoryzowanych narzędzi RMM na komputerach firmy | Średnia | Średnia |
Odnowienie licencji bez utrzymania, aby móc zainstalować poprawkę | Wysoka jako warunek aktualizacji | Zależna od budżetu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Przesyłanie plików w sesji | Możliwe bez potwierdzenia | Pod kontrolą lub wyłączone |
Klienty hosta i agenci | Stare wersje mimo aktualizacji serwera | Przeinstalowane i zaktualizowane |
Wiedza o nadużyciach | Brak | Dziennik audytu przejrzany |
Nieautoryzowane narzędzia RMM | Niewykryte | Wyszukane i usunięte |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); CISA wymaga triażu śledczego |
Grupy przestępcze | Brak publicznych informacji o sprawcach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.9 KRYTYCZNA (CVSS 3.1, ConnectWise); waga Important, priorytet 1 High |
PoC dostępny publicznie? | Brak publicznych informacji; ConnectWise nie ujawnia szczegółów luki |
Liczba atakowanych firm | Brak publicznych danych; Huntress opisuje incydenty w wielu niezwiązanych organizacjach |
Punkt wyjścia ataków | Według Huntress socjotechnika, np. fałszywe wsparcie techniczne, i nieautoryzowane instalacje ScreenConnect |
Od pierwszych incydentów do poprawki
20.08 ██████████ incydent opisany przez Huntress
03.09 ██████░░░░ ostrzeżenie ConnectWise, zalecenie wyłączenia TransferFiles
08.09 ███░░░░░░░ poprawka 26.6.5 i publikacja CVE
11.09 █░░░░░░░░░ wpis w katalogu KEV
14.09 ░░░░░░░░░░ termin CISA
Mogę Ci jakoś pomóc?
2026-08-20 Incydent z nieautoryzowanym ScreenConnect opisany przez Huntress
2026-09-02 Rezerwacja numeru CVE-2026-84869
2026-09-03 Ostrzeżenie ConnectWise o problemie z przesyłaniem plików
2026-09-08 ConnectWise wydaje ScreenConnect 26.6.5, publikacja CVE
2026-09-11 CISA dodaje lukę do katalogu KEV
2026-09-14 Termin naprawy wg CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn ConnectWise z poprawką i obejściem: ScreenConnect 26.6.5 Security Patch . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-84869 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma lub jej dostawca IT używa ScreenConnect i w jakiej wersji | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową aktualizację i czasowe wyłączenie przesyłania plików | CTO | DZISIAJ |
3 | Uzyskać od dostawcy IT pisemne potwierdzenie aktualizacji i przeglądu dziennika audytu | CTO | DO JUTRA |
4 | Sprawdzić status licencji ScreenConnect i ewentualnie odnowić utrzymanie | CFO | DO JUTRA |
5 | Zabezpieczyć budżet na analizę powłamaniową, jeśli wykryto nadużycia | CFO | DO JUTRA |
6 | Przypomnieć pracownikom, że wsparcie techniczne nie dzwoni z prośbą o dostęp do komputera | Zarząd | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy ScreenConnect, w chmurze czy lokalnie? | TAK / NIE | 🔴 |
2 | Jaka wersja ScreenConnect jest zainstalowana? | [wersja] | 🔴 |
3 | Czy przeinstalowano klienty hosta i zaktualizowano agentów dostępu? | TAK / NIE, [data] | 🔴 |
4 | Czy uprawnienie TransferFiles jest wyłączone do czasu aktualizacji? | TAK / NIE | 🔴 |
5 | Czy dziennik audytu pokazuje uruchamianie plików od strony gościa? | TAK / NIE | 🟠 |
6 | Czy na komputerach firmy są instalacje ScreenConnect lub innych RMM, których nie znamy? | TAK / NIE | 🟠 |
7 | Czy licencja ScreenConnect ma aktywne utrzymanie? | TAK / NIE | 🟡 |
CVE-2026-84869 w kliencie ConnectWise ScreenConnect pozwala w pewnych okolicznościach uruchomić pliki przez sesję zdalną bez zgody, a CISA potwierdza wykorzystanie luki. Poprawka 26.6.5 jest dostępna od 8 września, ale w chmurze trzeba też przeinstalować klienty i agentów, a do czasu aktualizacji wyłączyć przesyłanie plików. Firmy korzystające z zewnętrznych dostawców IT powinny dziś uzyskać od nich potwierdzenie wykonania tych działań.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.