Błąd w ScreenConnect 23.9.7 i starszych, łączony z obejściem logowania, daje napastnikom dostęp do wszystkich komputerów obsługiwanych zdalnie. CISA potwierdza ataki ransomware. Zaktualizuj do 23.9.8 dziś.
Ten alert jest dla zarządu, CTO i CFO firm, w których dział IT lub zewnętrzny dostawca łączy się z komputerami pracowników przez ConnectWise ScreenConnect. Werdykt: jeśli serwer ScreenConnect działa w wersji 23.9.7 lub starszej, zaktualizuj go dziś do 23.9.8 lub nowszej, bo luka jest aktywnie wykorzystywana, także przez grupę stosującą ransomware Medusa.
Amerykańska agencja CISA 28 kwietnia 2026 roku dopisała podatność CVE-2024-1708 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd dotyczy ConnectWise ScreenConnect, programu do zdalnego wsparcia, i polega na przejściu po ścieżce katalogów. Może prowadzić do zdalnego wykonania kodu albo bezpośrednio naruszyć dane poufne i systemy krytyczne.
Sama luka nie jest nowa: rekord opublikowano 21 lutego 2024 roku razem z poprawką w wersji 23.9.8. Jej bliźniaczy błąd CVE-2024-1709, obejście logowania, jest w katalogu KEV od 22 lutego 2024 roku. Termin naprawy dla CVE-2024-1708 wyznaczony przez CISA minął 12 maja 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-1708 |
Data dodania do CISA KEV | 2026-04-28 |
Termin naprawy wg CISA | 2026-05-12 (14 dni od wpisu) |
Produkt | ConnectWise ScreenConnect (serwer zdalnego wsparcia) |
Wersje zagrożone | 23.9.7 i wszystkie wcześniejsze |
Wersje bezpieczne | 23.9.8 (pierwsza z poprawką) i każda nowsza; aktualnie wspierane wydania należy sprawdzić w serwisie producenta |
Typ podatności | Przejście po ścieżce katalogów (path traversal); CWE-22 |
Ocena CVSS | NVD i ConnectWise: 8.4 (CVSS 3.1, WYSOKA). Atak przez sieć, niska złożoność, formalnie wymagane wysokie uprawnienia i udział użytkownika, zakres zmieniony (skutki wychodzą poza sam program) |
Wyobraź sobie firmę ochroniarską, która ma komplet kluczy do wszystkich biur w budynku. To wygodne, bo ochroniarz może wejść i pomóc w każdej chwili. W dyżurce jest szafka, z której recepcjonista wydaje klucze tylko z jednej, dozwolonej półki. Błąd polega na tym, że recepcjonista wykonuje polecenie „podaj klucz z półki, a potem dwie półki wyżej” i nie zauważa, że wyszedł poza dozwolony zakres. W efekcie wydaje klucze, których nikt nie miał prawa dostać.
ScreenConnect to właśnie taka dyżurka z kluczami: z jednego serwera informatyk łączy się z każdym komputerem w firmie. Formalnie luka wymaga wysokich uprawnień, ale w tym samym czasie wykryto drugi błąd, CVE-2024-1709, który pozwala wejść bez hasła. Razem tworzą komplet: pierwszy otwiera drzwi, drugi pozwala sięgnąć dalej.
💡 Przejście po ścieżce katalogów (path traversal) to błąd, w którym program pozwala odczytać lub zapisać plik poza katalogiem, do którego powinien mieć dostęp, na przykład przez dopisanie w nazwie poleceń „w górę o poziom”. Zakres zmieniony w CVSS oznacza, że skutki dotykają systemów, którymi podatny program zarządza. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane. Ransomware to oprogramowanie szyfrujące dane w celu wymuszenia okupu.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Informatyk łączy się z komputerem pracownika | Zalogowany technik ma sesję, pracownik widzi okno | Tak samo, nic się nie zmienia |
Obca osoba próbuje wejść na serwer ScreenConnect | Zostaje odrzucona bez hasła | W połączeniu z CVE-2024-1709 może uzyskać konto administratora |
Dostęp do plików serwera | Tylko w wyznaczonych katalogach | Możliwy odczyt i zapis poza dozwolonym katalogiem, aż do wykonania kodu |
Zasięg skutków | Jeden program | Wszystkie komputery, na których działa agent ScreenConnect |
Reakcja antywirusa i pracowników | Sesja serwisowa wygląda normalnie | Sesja napastnika też wygląda jak normalna praca serwisu |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej pary luk. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwer ScreenConnect jest zwykle dostępny z internetu, bo technicy łączą się z różnych miejsc. Sama luka CVE-2024-1708 wymaga uprawnień administratora, dlatego w praktyce napastnicy łączą ją z obejściem logowania CVE-2024-1709 albo z przejętym kontem technika.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie w internecie serwerów ScreenConnect w wersji 23.9.7 lub starszej | Lista celów |
2. Wejście | T+kilka minut | Obejście logowania (CVE-2024-1709) lub użycie przejętego konta i utworzenie konta administratora | Pełne uprawnienia na serwerze |
3. Wykonanie kodu | T+kilkanaście minut | Wykorzystanie przejścia po ścieżce (CVE-2024-1708) do umieszczenia własnych plików na serwerze | Kod napastnika działa na serwerze ScreenConnect |
4. Rozprzestrzenienie | T+1 do 24 godz. | Uruchamianie poleceń na komputerach z agentem przez zaufany kanał serwisowy | Dostęp do wszystkich obsługiwanych stacji |
5. Kradzież danych | T+1 do 3 dni | Kopiowanie danych finansowych, klientów i dokumentów | Dane poza firmą |
6. Szantaż | T+dni | Jednoczesne szyfrowanie stacji i kopii zapasowych na dyskach sieciowych | Przestój i żądanie okupu |
Narzędzie zdalnego wsparcia z założenia ma dostęp do wszystkiego. Napastnik, który przejmie serwer zarządzający, nie musi włamywać się do każdego komputera osobno, ma gotowy i zaufany kanał do wszystkich. W małych firmach ScreenConnect często przychodzi razem z umową serwisową, a zarząd nie wie nawet, że jest zainstalowany.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Jednoczesne zaszyfrowanie wszystkich stacji roboczych, brak fakturowania i obsługi zamówień | Godziny do dni od wejścia | 50 tys. do 400 tys. PLN (przestój, odtworzenie) |
Bezpieczeństwo danych | Wyciek danych klientów, finansowych i kadrowych | Dni od wejścia | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, nadgodziny, zewnętrzni specjaliści, utracone zamówienia | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów, a u dostawców IT także utrata klientów obsługiwanych przez ten sam serwer | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; spory z dostawcą usług IT | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z ScreenConnect 23.9.7 lub starszym
wystawionym do internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo niezałatany serwer daje dostęp do wszystkich komputerów, luka jest znana od 2024 roku, łączona z obejściem logowania i potwierdzona w atakach ransomware; firma z wersją 23.9.8 lub nowszą jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub jej dostawca IT używa ScreenConnect i w jakiej wersji | Dziś | CTO / dostawca IT |
2 | 🔴 NATYCHMIAST | Zaktualizować serwer do wersji 23.9.8 lub nowszej | Dziś | Administrator / dostawca IT |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja dziś jest niemożliwa, odciąć serwer od internetu | Dziś | Administrator |
4 | 🟠 PILNIE | Sprawdzić listę kont na serwerze, usunąć nieznane konta administratorów, zmienić hasła i włączyć uwierzytelnianie dwuskładnikowe | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Przejrzeć logi sesji i plików na serwerze od lutego 2024 pod kątem nieznanych połączeń i dodanych plików | Do 7 dni | Dział IT / zespół bezpieczeństwa |
6 | 🟠 PILNIE | Sprawdzić, czy kopie zapasowe są odłączone od sieci lub niemodyfikowalne | Do 7 dni | Administrator |
7 | 🟡 WAŻNIE | Wprowadzić stały przegląd zestawień nocnych i nietypowych sesji zdalnych | Do 30 dni | CTO |
ConnectWise wydał poprawkę w wersji 23.9.8, więc docelowo trzeba ją zainstalować. Poniższe miary tylko ograniczają ryzyko do tego czasu; efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie serwera ScreenConnect od internetu | Wysoka: usuwa główną drogę ataku | Łatwa, ale technicy tracą zdalny dostęp spoza sieci |
Dostęp do panelu tylko z zaufanych adresów lub przez VPN | Średnia do wysokiej: zawęża grono napastników | Średnia |
Przegląd kont administratorów i wymuszenie uwierzytelniania dwuskładnikowego | Niska wobec obejścia logowania, przydatna przeciw przejętym hasłom | Łatwa |
Codzienny przegląd logów sesji i nowych kont | Niska jako ochrona, przydatna do wykrycia włamania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Serwer zdalnego wsparcia | Otwarty na znaną parę luk | Wersja 23.9.8 lub nowsza |
Konta administratorów | Nieznana lista, możliwe konta napastnika | Sprawdzone, z uwierzytelnianiem dwuskładnikowym |
Kopie zapasowe | Podpięte jako zwykły dysk sieciowy | Odseparowane lub niemodyfikowalne |
Widoczność | Nikt nie przegląda sesji nocnych | Stały przegląd nietypowych połączeń |
Zgodność z terminem CISA | Zaległość od 12 maja 2026 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena SSVC CISA już w lutym 2024 opisywała wykorzystanie jako aktywne |
Grupy przestępcze | Storm-1175 (według Microsoft Threat Intelligence) wykorzystuje oba błędy ScreenConnect wśród ponad 16 podatności używanych od 2023 roku |
Kampanie ransomware | TAK (CISA KEV: Known). Storm-1175 prowadzi operacje z ransomware Medusa; wspólne ostrzeżenie CISA i FBI o Medusa wymienia jako drogę wejścia bliźniaczy błąd CVE-2024-1709 |
Ocena CVSS | 8.4 WYSOKA wg NVD i ConnectWise (CVSS 3.1) |
PoC dostępny publicznie? | Brak potwierdzenia w analizowanych źródłach; w NVD podlinkowana jest szczegółowa analiza techniczna firmy Huntress |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,87558 (ok. 88% szansy próby wykorzystania w 30 dni), percentyl 0,99751, pomiar z 23 sierpnia 2026 |
Luka od dwóch lat ma wszystkie cechy groźnej, choć do KEV trafiła dopiero w 2026 roku. To przypomina, że brak wpisu w katalogu nie oznacza braku zagrożenia:
Sygnały zagrożenia dla CVE-2024-1708
CVSS 3.1 (NVD) 8.4/10 █████████████████░░░ WYSOKA
EPSS (próba w 30 dni) ~88% ██████████████████░░ BARDZO WYSOKA
EPSS percentyl 99,8% ████████████████████ ścisła czołówka
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana (Medusa) 2024-02-21 Publikacja CVE-2024-1708 i poprawki w ScreenConnect 23.9.8
2024-02-22 CISA dodaje bliźniaczy błąd CVE-2024-1709 do KEV (termin 7 dni)
2026-04-06 Microsoft opisuje grupę Storm-1175 i ransomware Medusa
2026-04-28 CISA dodaje CVE-2024-1708 do katalogu KEV, ransomware: Known
2026-05-12 Termin naprawy wg CISA dla agencji federalnych
2026-08-23 EPSS 0,87558, percentyl 0,99751
... ponad 4 miesiące od terminu CISA, 2,5 roku od poprawki
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: connectwise.com: ScreenConnect 23.9.8 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-1708 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Wysłać do dostawcy IT pytanie o nazwę i wersję narzędzia zdalnego dostępu | CTO | DZISIAJ |
2 | Potwierdzić na piśmie wersję ScreenConnect 23.9.8 lub nowszą | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację lub odcięcie serwera od internetu | CTO | DZISIAJ |
4 | Zlecić przegląd kont administratorów i logów sesji | CTO | DO JUTRA |
5 | Potwierdzić, że kopie zapasowe są odseparowane od sieci | CTO | DO JUTRA |
6 | Sprawdzić w umowie z dostawcą IT zapisy o aktualizacjach i odpowiedzialności za incydenty | CFO | DO JUTRA |
7 | Zarezerwować budżet na ewentualną analizę powłamaniową | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakiego narzędzia zdalnego dostępu używamy my i nasz dostawca IT? | [nazwa] | 🔴 |
2 | Jaka jest wersja serwera ScreenConnect? | [wersja] | 🔴 |
3 | Czy serwer ScreenConnect jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Kiedy ostatnio sprawdzono listę kont administratorów na serwerze? | [data] | 🟠 |
5 | Czy wszystkie konta mają uwierzytelnianie dwuskładnikowe? | TAK / NIE | 🟠 |
6 | Czy ktoś przegląda zestawienia sesji zdalnych, zwłaszcza nocnych? | TAK / NIE | 🟠 |
7 | Czy kopia zapasowa przetrwa zaszyfrowanie wszystkich komputerów w sieci? | TAK / NIE | 🟡 |
CVE-2024-1708 w ConnectWise ScreenConnect 23.9.7 i starszych, połączona z obejściem logowania CVE-2024-1709, daje napastnikowi kanał do wszystkich komputerów w firmie. CISA potwierdza ataki, także ransomware, a poprawka istnieje od lutego 2024 roku, więc sprawdzenie wersji i aktualizacja to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.