ConnectWise ha emitido un aviso de seguridad urgente para su software de escritorio remoto ScreenConnect, revelando una vulnerabilidad criptográfica crítica que podría permitir a atacantes no autenticados extraer claves de máquina a nivel de servidor e secuestrar la autenticación de sesiones. La falla, registrada como CVE-2026-3564, afecta a todas las versiones de ScreenConnect anteriores a la 26.1 y tiene una puntuación CVSS de 9.0, lo que la sitúa en un nivel de riesgo extremadamente alto.

ConnectWise ha emitido un aviso de seguridad urgente para su software de escritorio remoto ScreenConnect, revelando una vulnerabilidad criptográfica crítica que podría permitir a atacantes no autenticados extraer claves de máquina a nivel de servidor y secuestrar la autenticación de sesiones.

La falla, registrada como CVE-2026-3564, afecta a todas las versiones de ScreenConnect anteriores a la 26.1 y tiene una puntuación CVSS de 9.0, situándola firmemente en el nivel de gravedad crítico a importante.

En el centro del problema está la forma en que las versiones antiguas de ScreenConnect almacenaban claves de máquina únicas e identificadores criptográficos vinculados a cada instancia del servidor.

Estas claves se escribían en texto plano dentro de los archivos de configuración del servidor, lo que significa que, bajo ciertas condiciones, un atacante que obtenga acceso al sistema de archivos o a los datos de configuración podría extraer este material sin necesidad de privilegios elevados en el sistema objetivo.

Vulnerabilidad en ScreenConnect: Extracción de claves

Una vez extraídas, las claves de máquina pueden ser utilizadas para falsificar o manipular tokens de autenticación de sesiones, permitiendo así suplantar sesiones legítimas y eludir los controles de acceso.

La vulnerabilidad se clasifica bajo CWE-347 (Verificación inadecuada de firma criptográfica), lo que destaca la causa raíz: el fallo del software al no verificar adecuadamente la integridad de estos componentes criptográficos antes de confiar en ellos para decisiones de autenticación.

El vector CVSS indica que es explotable a través de la red sin privilegios ni interacción del usuario, aunque la alta complejidad del ataque refleja que deben cumplirse condiciones específicas.

Es notable que el alcance esté marcado como Cambiado, lo que significa que una explotación exitosa podría afectar recursos más allá del componente vulnerable en sí, una preocupación significativa en entornos empresariales de acceso remoto donde ScreenConnect está ampliamente desplegado.

ConnectWise ha asignado a esta vulnerabilidad una calificación de Prioridad 1 (Alta), indicando que está siendo atacada activamente o tiene un riesgo elevado de explotación en la naturaleza. Las organizaciones que ejecutan despliegues locales de ScreenConnect están particularmente expuestas y deberían tratar la corrección como un cambio de emergencia, idealmente dentro de los días siguientes a la publicación del aviso.

La versión actualizada de ScreenConnect, 26.1, aborda la falla introduciendo almacenamiento cifrado y una gestión mejorada de claves para el material de las claves de máquina, reduciendo significativamente el riesgo de extracción no autorizada incluso si la integridad del servidor se ve parcialmente comprometida.

Las instancias de ScreenConnect alojadas en la nube no requieren acción, ya que ConnectWise ya ha aplicado mitigaciones en el backend. Sin embargo, los socios con despliegues locales deben actualizar manualmente a la versión 26.1 a través de la página oficial de descarga de ScreenConnect.

Las licencias de mantenimiento caducadas deben renovarse antes de poder aplicar la actualización.

Dada la puntuación CVSS casi crítica y la clasificación de Prioridad 1, los equipos de seguridad que gestionan despliegues locales de ScreenConnect deberían priorizar el parcheo de inmediato y auditar los registros de sesiones en busca de cualquier actividad de autenticación anómala que pudiera indicar intentos previos de explotación.