CISA ha alertado sobre una vulnerabilidad crítica (CVE-2026-84869) en ConnectWise ScreenConnect que está siendo explotada activamente para transferir y ejecutar archivos sin autorización. El fallo afecta a clientes con privilegios básicos y ya ha sido parcheado en la versión 26.6.5. Se recomienda a las organizaciones actualizar sus sistemas inmediatamente o deshabilitar los permisos de "TransferFiles" como medida temporal.

Los atacantes ahora están explotando en estado salvaje una vulnerabilidad de gravedad crítica de ConnectWise ScreenConnect, según la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA).

ConnectWise compartió medidas de mitigación temporales para este fallo de falta de autorización el 7 de septiembre, aconsejando a los equipos de seguridad que desactiven los permisos de TransferFiles para bloquear posibles ataques.

La vulnerabilidad (ahora rastreada como CVE-2026-84869 y parcheada en ScreenConnect 26.6.5 y versiones posteriores) afecta a los clientes de ScreenConnect y puede permitir que actores de amenazas con privilegios básicos transfieran o ejecuten archivos en ataques de baja complejidad que no requieren interacción del usuario.

CISA añadió el fallo de seguridad a su catálogo de fallos explotados activamente el viernes y ordenó a las agencias federales de EE. UU. asegurar sus sistemas contra los ataques en curso en un plazo de tres días.

"ConnectWise ScreenConnect contiene tanto una gestión de privilegios inadecuada como una vulnerabilidad de falta de autorización que puede permitir a un atacante la transferencia y ejecución de archivos a través de sesiones remotas activas sin autorización ni confirmación del host", afirmó CISA. "Estos tipos de vulnerabilidades son un vector de ataque frecuente para los ciberactores maliciosos y representan riesgos significativos para la empresa federal".

Desde 2024, CISA ha señalado cuatro problemas de seguridad de ScreenConnect como explotados activamente, dos de los cuales también han sido abusados en ataques de ransomware.

El observador de amenazas de Internet Shadowserver rastrea ahora más de 1.000 instancias de ScreenConnect que aún no están parcheadas y expuestas a ataques en línea, la mayoría de ellas de América del Norte (758) y Europa (180).

Instancias vulnerables de screenconnect (shadowserver)

Las vulnerabilidades de ScreenConnect suelen ser el objetivo en estado salvaje tanto de grupos de hacking motivados financieramente como de grupos respaldados por estados.

Por ejemplo, el grupo de hacking Kimsuky respaldado por Corea del Norte y varias bandas de ransomware explotaron otro fallo de ScreenConnect (CVE-2024-1709) en 2024.

El año pasado, ConnectWise también rotó los certificados de firma de código digital después de revelar que hackers presuntamente patrocinados por el estado vulneraron sus sistemas mediante ataques de inyección de código que explotaron un fallo de ViewState (CVE-2025-3935) y accedieron a las instancias basadas en la nube de un número limitado de clientes.

Más recientemente, en marzo, ConnectWise solucionó una vulnerabilidad de verificación de firma criptográfica (CVE-2026-3564) que podría permitir a los atacantes secuestrar servidores de ScreenConnect no parcheados.

ConnectWise presta servicios a más de 100.000 proveedores de TI en todo el mundo, y muchos proveedores de servicios gestionados (MSP) y equipos de TI utilizan su plataforma de acceso remoto ScreenConnect para la resolución de problemas, el parcheo y el mantenimiento del sistema.

Fuente:
BleepingComputer