Kritische ScreenConnect-Schwachstelle ermöglicht wurmartige Angriffe über aktive Remote-Sitzungen

ConnectWise hat ein dringendes Sicherheitsupdate für CVE-2026-84869 veröffentlicht. Betroffen ist eine kritische Schwachstelle im ScreenConnect-Client, die bereits aktiv ausgenutzt wird.

Die Schwachstelle ermöglicht es Angreifern, unter bestimmten Bedingungen Dateien über eine aktive ScreenConnect-Remote-Sitzung zu übertragen und auszuführen, ohne ordnungsgemäße Autorisierung oder Bestätigung durch den Host. Huntress beobachtet die Ausnutzung seit dem 20. August. Dabei kamen unter anderem kompromittierte oder bösartige ScreenConnect-Clients zum Einsatz, um Payloads an weitere verbundene Clients zu übermitteln.

Die Schwachstelle erreicht einen CVSS-v3-Wert von 9,9. CISA nahm sie am 11. September 2026 in den Katalog der bekannten ausgenutzten Schwachstellen auf und setzte den 14. September 2026 als Frist für die Behebung durch US-Bundesbehörden fest.

ScreenConnect-Clients vor Build 26.6.5.9742 sind betroffen

Die verwundbare Komponente ist der ScreenConnect-Client. Laut NVD-Eintrag sind ScreenConnect-Server von dieser konkreten Sicherheitsbedingung nicht betroffen.

Versionsangaben werden mit unterschiedlicher Genauigkeit gemacht. ConnectWise bezeichnet ScreenConnect 26.6.5 als Version, die den Fix enthält, während die NVD Versionen vor 26.6.5.9742 als verwundbar aufführt.

Administratoren sollten daher den vollständigen installierten Build überprüfen und sich nicht ausschließlich auf die angezeigte Hauptversion verlassen. Als sicher gilt ScreenConnect ab 26.6.5.9742.

Die Schwachstelle ist zwei Kategorien von Schwächen zugeordnet:

• CWE-269 — Improper Privilege Management
• CWE-862 — Missing Authorization

Der CVSS-Vektor der NVD lautet:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Der Vektor beschreibt eine über das Netzwerk erreichbare Schwachstelle mit geringer Angriffskomplexität. Für die Ausnutzung sind geringe Berechtigungen erforderlich, jedoch keine Interaktion durch den Benutzer, der den Zielhost steuert. Die Änderung des Scopes weist darauf hin, dass eine erfolgreiche Ausnutzung eine Sicherheitsgrenze überschreiten kann. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden jeweils als hoch eingestuft.

ConnectWise zufolge verbessert der korrigierte Client die Sitzungsverwaltung bei Dateiübertragungen und Dateiausführungen.

Angreifer machen vertrauenswürdige Sitzungen zu Verbreitungswegen

Die beobachtete Kampagne beginnt mit Social Engineering. Angreifer bringen ihre Ziele dazu, manipulierte ScreenConnect-Clients auszuführen, und schaffen so die Ausgangsposition, um aktive Remote-Support-Beziehungen auszunutzen.

Laut Berichten auf Grundlage von Beobachtungen durch Huntress installiert eine modifizierte ScreenConnect-Instanz anschließend vier VBScript-Dateien. Diese Skripte sollen Persistenz herstellen und dabei helfen, die Payload an weitere ScreenConnect-Clients zu verbreiten.

Die bösartigen Clients prüfen, ob aktive Remote-Sitzungen verfügbar sind. Sobald sie verbundene Ziele finden, nutzen die Angreifer das verwundbare Verhalten bei Übertragung und Ausführung, um die VBScript-Payloads über diese Sitzungen zu übermitteln.

Deshalb wird die Aktivität als wurmartig eingestuft. Ein kompromittierter oder von Angreifern kontrollierter Client kann bestehende ScreenConnect-Verbindungen nutzen, um weitere Systeme zu erreichen und den Angriff über Beziehungen auszuweiten, die Administratoren ansonsten als vertrauenswürdig betrachten würden.

Die Beschreibung belegt nicht, dass es sich bei der Malware um einen vollständig autonom agierenden Netzwerkwurm handelt. Für den initialen Zugriff ist Social Engineering erforderlich, und die Verbreitung hängt von aktiven ScreenConnect-Sitzungen ab. Dennoch kann die Möglichkeit, sich von einem Client zu anderen verbundenen Clients zu bewegen, die Kompromittierung in Remote-Support-Umgebungen beschleunigen.

Managed Service Provider, Helpdesks, IT-Administratoren und Organisationen mit zahlreichen ScreenConnect-Sitzungsbeziehungen sind einem besonderen operativen Risiko ausgesetzt. Ein einzelner bösartiger Client kann zur Verteilstation werden, sobald er auf andere aktive Clients trifft.

Unbefugte Ausführung kann ganze Support-Umgebungen beeinträchtigen

Eine erfolgreiche Ausnutzung kann es Angreifern ermöglichen, ausgewählte Dateien auf Systemen abzulegen und auszuführen, die mit verwundbaren ScreenConnect-Client-Sitzungen verbunden sind. Zu den unmittelbaren Folgen können Persistenz, die weitere Verbreitung von Malware oder die Ausweitung des Angriffs auf zusätzliche Endpunkte gehören.

Die hohe Einstufung bei der Vertraulichkeit spiegelt die mögliche Offenlegung von Daten wider, auf die kompromittierte Systeme zugreifen können. Die Auswirkungen auf die Integrität umfassen unbefugte Änderungen und Ausführung, während die hohe Verfügbarkeitsbewertung mögliche Betriebsunterbrechungen oder zerstörerische Aktivitäten berücksichtigt.

Im verwundbaren Szenario ist keine Bestätigung durch den Host erforderlich. Dadurch verringert sich die Möglichkeit für einen Endbenutzer oder Techniker, eine bösartige Übertragung vor der Ausführung zu unterbrechen.

Remote-Access-Software nimmt in Unternehmensnetzwerken außerdem eine besonders sensible Position ein. Sie verbindet Bediener, Endpunkte und Support-Infrastruktur über Organisationsgrenzen hinweg. Der Missbrauch dieser etablierten Kanäle kann es Angreifern ermöglichen, bösartige Aktivitäten als legitime Administration zu tarnen und Systeme zu erreichen, die nicht direkt aus dem Internet erreichbar sind.

CISA führt die Nutzung durch Ransomware als unknown. Daher gibt es keine bestätigte Grundlage dafür, die beobachtete Ausnutzung von ScreenConnect als Ransomware-Kampagne zu bezeichnen.

CISA fordert Patchen und forensische Triage

CISA nahm CVE-2026-84869 am 11. September 2026 in ihren Katalog der bekannten ausgenutzten Schwachstellen auf. Die Aufnahme bestätigt, dass es sich nicht nur um eine theoretische Schwachstelle handelt: Eine Ausnutzung wurde dokumentiert.

Die Frist für die Behebung durch Bundesbehörden endet am 14. September 2026. CISA kennzeichnet außerdem eine forensische Triage gemäß Binding Operational Directive 26-04, „Prioritizing Security Updates Based on Risk“, als erforderlich.

Bundesbehörden müssen die vom Hersteller bereitgestellten Gegenmaßnahmen umsetzen und zugleich die Anforderungen von BOD 26-04 an Patching und forensische Triage erfüllen. Außerdem müssen sie die Erreichbarkeit betroffener Systeme aus dem Internet bewerten. Bei Cloud-Diensten müssen Organisationen die geltenden Anforderungen der Richtlinie erfüllen oder den Dienst nicht mehr verwenden, wenn keine wirksamen Gegenmaßnahmen verfügbar sind.

Organisationen aus dem privaten Sektor sind nicht an die Frist der Bundesbehörden gebunden. Die operativen Gegebenheiten gelten jedoch auch für sie: Die Ausnutzung ist aktiv, die Verbreitung kann über verbundene Clients erfolgen, und durch bloßes Patchen lässt sich nicht feststellen, ob ein System zuvor kompromittiert wurde.

In den verfügbaren verifizierten Daten wurde kein aktueller KEV-Präzedenzfall mit spezifischem Bezug zu ConnectWise identifiziert. Dieser Fall sollte daher nicht als Teil einer dokumentierten Serie neuerer KEV-Aufnahmen dargestellt werden, die den Anbieter betreffen.

Zuerst patchen, dann aktive und frühere Sitzungen untersuchen

Organisationen sollten ScreenConnect-Clients auf Build 26.6.5.9742 oder höher aktualisieren. Wenn eine sofortige Bereitstellung nicht möglich ist, empfiehlt ConnectWise, die Berechtigung TransferFiles zu deaktivieren, bis das Update abgeschlossen werden kann.

Eine praxisnahe Reaktion sollte folgende Schritte umfassen:

1. ScreenConnect-Clients und exakte Builds inventarisieren. Identifizieren Sie jeden Client vor 26.6.5.9742, einschließlich von Systemen, die von Drittanbietern verwaltet oder nur gelegentlich für Supportzwecke verwendet werden.

2. Die korrigierte Version installieren. Vergewissern Sie sich, dass der resultierende Build mindestens dem NVD-Schwellenwert entspricht, statt lediglich zu prüfen, ob die allgemeine Versionsbezeichnung 26.6.5 angezeigt wird.

3. TransferFiles deaktivieren, wenn sich das Patchen verzögert. Betrachten Sie dies als vorübergehende Gegenmaßnahme und nicht als Ersatz für das Upgrade.

4. Aktive und kürzlich beendete Remote-Sitzungen überprüfen. Suchen Sie nach unerwarteten Verbindungen, ungewöhnlichen Sitzungsbeziehungen und Clients, die mit Systemen außerhalb der üblichen Support-Muster kommunizieren.

5. Unbefugte Übertragungen und Ausführungen untersuchen. Prüfen Sie die ScreenConnect-Aktivität auf Dateien, die ohne erwartete administrative Aufgabe oder Host-Genehmigung übertragen wurden.

6. Nach Persistenz auf Basis von VBScript suchen. Huntress beobachtete vier VBScript-Payloads. Dateinamen, Hashes und andere konkrete Indikatoren wurden jedoch nicht veröffentlicht. Verteidiger müssen sich daher auf verhaltensbasierte Suchen, Telemetrie zur Skriptausführung, Änderungen an Persistenzmechanismen und den Sitzungsverlauf stützen.

7. ScreenConnect-Client-Binärdateien überprüfen. Unerwartete, modifizierte oder neu hinzugekommene Clients können auf die Social-Engineering-Phase oder eine von Angreifern kontrollierte Bereitstellung hindeuten.

8. Mögliche Verbreitungswege nachvollziehen. Wenn ein Client kompromittiert zu sein scheint, untersuchen Sie jeden ScreenConnect-Client, der während der relevanten Sitzungen mit ihm verbunden war.

9. Vor dem Abschluss des Vorfalls eine forensische Triage durchführen. CISA verlangt diese Untersuchung ausdrücklich für betroffene Behörden. Auch andere Organisationen sollten Protokolle und Beweise von Endpunkten sichern, bevor die Behebung verwertbare Spuren beseitigt.

Durch die Aktualisierung wird die verwundbare Bedingung beseitigt, nicht jedoch Payloads, die bereits über frühere Sitzungen übertragen wurden. Jede Organisation, die einen betroffenen Build einsetzt, sollte Patchen und die Prüfung auf eine Kompromittierung als parallele Aufgaben behandeln.