ScreenConnect: zneužívaná chyba v klientovi umožňuje spustiť súbory bez súhlasu…

Čo sa stalo

ConnectWise ScreenConnect je program na vzdialenú podporu a správu počítačov, ktorý bežne používajú IT oddelenia aj externí IT dodávatelia (MSP). Výrobca 8. septembra 2026 vydal verziu 26.6.5, ktorá opravuje chybu CVE-2026-84869. Chyba je v klientovi ScreenConnect: počas aktívnej vzdialenej relácie sa za určitých okolností mohli preniesť a spustiť súbory bez oprávnenia a bez potvrdenia technika, ktorý sa v ScreenConnect nazýva „Host“. Servery ScreenConnect chyba podľa ConnectWise nezasahuje.

Spoločnosť Huntress pozorovala koncom augusta 2026 útoky, pri ktorých upravené klienty ScreenConnect samy prenášali a spúšťali škodlivé skripty na novo pripojené počítače. Podľa The Hacker News tieto útoky zneužívali práve CVE-2026-84869 a viedli až k inštalácii XMRig, programu na ťažbu kryptomien. Americká agentúra CISA zaradila chybu 11. septembra 2026 do katalógu aktívne zneužívaných zraniteľností a európska databáza EUVD ju eviduje ako zneužívanú od toho istého dňa.

V novembri 2026 sa téma vrátila. ConnectWise vyšetruje neoprávnený prístup do niektorých partnerských prostredí ScreenConnect. Spoločnosť Blackpoint Cyber potvrdila, že nájdený útočný nástroj SCKit zneužíva CVE-2026-84869 a že oprava ho zablokuje. ConnectWise zatiaľ nenašiel dôkaz, že by útočníci získali prvotný prístup cez zraniteľnosť ScreenConnect. Preveruje skôr zneužitie rozšírení od tretích strán.

Prečo je to nebezpečné

Ide o chýbajúcu kontrolu oprávnení (CWE-862) a nesprávnu správu privilégií (CWE-269). Predstavte si technika, ktorý príde k zákazníkovi opraviť počítač, a zákazník mu nepozorovane vloží do tašky balíček, ktorý sa sám otvorí v jeho kancelárii. Pri ScreenConnect to znamená, že počas relácie mohol súbor prejsť a spustiť sa bez toho, aby to niekto povolil.

Podľa vektora CVSS útok prebieha cez sieť, je nenáročný a nevyžaduje zásah používateľa, útočník však potrebuje nízku úroveň oprávnení. Blackpoint Cyber opisuje, ako to využíva nástroj SCKit: z napadnutého spravovaného počítača sa pokúsi poslať škodlivý kód späť na počítač technika, ktorý sa naň pripojí. Ak uspeje, hľadá v prehliadači technika prihlásenú reláciu ScreenConnect a cez jeho oprávnenia posiela príkazy na ďalšie počítače, podľa Blackpoint Cyber s oprávneniami NT AUTHORITY\SYSTEM. Útok sa tak môže dostať k ďalším zákazníkom. Výskumníci zatiaľ nepozorovali, že by sa takéto šírenie na počítač technika podarilo.

Výrobca ConnectWise hodnotí chybu podľa CVSS 3.1 skóre 9,9 z 10, čo je kritická úroveň. Vo vlastnom bulletine ju označil ako „Important“ s prioritou 1 (High) a odporúča opravu do niekoľkých dní. Katalóg CISA KEV je zoznam chýb, o ktorých americká agentúra CISA vie, že sa reálne zneužívajú. Federálne úrady v USA ju museli opraviť do 14. septembra 2026.

EPSS je štatistický odhad pravdepodobnosti zneužitia v nasledujúcich 30 dňoch. K 12. novembru 2026 je to približne 0,9 % (61. percentil). Keďže zneužitie už potvrdila CISA, tento nízky odhad nie je dôvodom na otáľanie.

Koho sa to týka

Zasiahnuté sú klienty ConnectWise ScreenConnect vo verziách starších ako 26.6.5, v cloude aj pri lokálnej (on-premise) inštalácii. Najviac ohrození sú technici a IT dodávatelia (MSP), ktorí sa cez ScreenConnect pripájajú k počítačom zákazníkov, pretože útok mieri na ich pracovné stanice.

Samotné servery ScreenConnect chyba podľa ConnectWise nezasahuje. Aktualizácia cloudovej konzoly však automaticky neaktualizuje klienty na počítačoch technikov. Ak ScreenConnect nepoužívate vy, ale váš externý IT dodávateľ, opýtajte sa ho, či už má klienty aktualizované.

Zvlášť pozorní by mali byť používatelia rozšírení z rodiny RMM+: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link a RMM+ Password Link. Huntress našiel v RMM+ vo verziách 1.0.31 a 1.0.32 chybu, pri ktorej rozšírenie prijalo prázdny prístupový kľúč, ak ho správca nenastavil.

Ako zistiť, či ste zasiahnutí

Verziu servera zistíte v administrácii ScreenConnect na stránke Administration > Overview. Nájdete tam aj „Latest Eligible Version“, teda najvyššiu verziu, na ktorú máte nárok podľa licencie. Cloudové inštancie už ConnectWise aktualizoval na 26.6.5.

Rozhodujúca je verzia klienta na každom počítači technika, verzia konzoly nestačí. V PowerShelli ju zistíte príkazom, ktorý register len číta:

Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*, HKLM:\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*, HKCU:\Software\Microsoft\Windows\CurrentVersion\Uninstall\* -ErrorAction SilentlyContinue | Where-Object { $_.DisplayName -like "*ScreenConnect*" } | Select-Object DisplayName, DisplayVersion

Ak klient v zozname nie je, vyhľadajte súbor ScreenConnect.WindowsClient.exe a pozrite jeho verziu:

Get-ChildItem "$env:LOCALAPPDATA\Apps", "${env:ProgramFiles(x86)}" -Recurse -Filter ScreenConnect.WindowsClient.exe -ErrorAction SilentlyContinue | Select-Object FullName, @{n="Version";e={$_.VersionInfo.FileVersion}}

V časti Administration > Security > Roles skontrolujte, ktoré roly majú povolené TransferFiles (v starších verziách TransferFilesInSession). V zozname rozšírení overte, či nemáte nainštalované niektoré z rozšírení RMM+.

Ako to opraviť

Opravená verzia je ScreenConnect 26.6.5. ConnectWise odporúča nasadiť ju ako urgentnú zmenu, najneskôr do niekoľkých dní. Postupujte v tomto poradí:

Lokálny server: na stránke Administration > Overview overte, že máte verziu 25.4 alebo novšiu a že 26.6.5 je pre vašu licenciu dostupná. Ak licencia nemá platnú údržbu, treba ju najprv obnoviť. Ak vám obnova pripadá na rok 2026, na verziu 26.6 máte nárok aj bez nej.
Server aktualizujte na 26.6.5 podľa návodu ConnectWise. Partneri s integráciou do ConnectWise Automate nájdu aktualizáciu na stránke Automate Product Updates. Cloud aktualizoval výrobca sám.
Na každom počítači technika preinštalujte klienta (host client) a overte, že má verziu 26.6.5 alebo novšiu. Aktualizujte aj prístupových agentov (access agents) na spravovaných počítačoch.
Rozšírenia z rodiny RMM+ nechajte vypnuté a znovu ich neinštalujte. Pri lokálnej inštalácii ich vypnite hneď. V približne 400 cloudových prostrediach ich ConnectWise preventívne vypol sám.
Z dôveryhodného zariadenia zrušte všetky aktívne webové relácie ScreenConnect aj relácie u poskytovateľa identít, zmeňte prístupové údaje a vynúťte viacfaktorové overenie (MFA). Samotná zmena hesla existujúce relácie nezruší. Prejdite aj zoznam používateľov a ich oprávnenia.

Dočasné opatrenie, ak nemôžete aktualizovať hneď: v Administration > Security > Roles upravte každú rolu, pri každej skupine relácií zrušte oprávnenie TransferFiles (staršie TransferFilesInSession) a zmeny uložte. ConnectWise zdôrazňuje, že to aktualizáciu nenahrádza.

Čo ak už ste mohli byť napadnutí

Huntress odporúča považovať za podozrivé záznamy RunFiles alebo RanFiles v audit logu ScreenConnect, ktoré ukazujú spúšťanie skriptov 1.vbs až 4.vbs z procesu Guest. Ďalšie indikátory od Huntress a Blackpoint Cyber:

proces ScreenConnect.WindowsClient.exe spúšťa wscript.exe
položka WindowsServiceHost v kľúči Run, ktorá ukazuje na WindowsServiceHost.vbs v priečinku AppData
súbory sc.msi, sckit-run.bat, sckit-decoder.ps1, SilentForceInstall-WithUninstall.ps1, neznáme inštalácie ScreenConnect alebo UltraViewer
spojenia na 45.13.237[.]190, 131.123.40[.]98, 15.204.185[.]204 alebo ns.mo7sen[.]dev

Položky kľúča Run pre prihláseného používateľa vypíšete príkazom nižšie. Spustite ho pod každým používateľom počítača a hľadajte WindowsServiceHost:

reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Run

ConnectWise radí sledovať neobvyklé prihlásenia, nečakané výzvy MFA, nových správcov, zmeny oprávnení, neschválený softvér na vzdialený prístup a záznamy Run Command, Toolbox a inštalácie rozšírení. Ak nič nenájdete, napadnutie to nevylučuje.

Pri podozrení nevyšetrujte cez ScreenConnect, použite EDR alebo iný nezávislý nástroj a skontrolujte aj počítače technikov. Zachovajte dôkazy, napadnuté servery izolujte a vráťte ich do prevádzky až po preverení, novej inštalácii a aktualizácii. Ak nemáte vlastný bezpečnostný tím, prizvite špecialistu na riešenie incidentov.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.

ScreenConnect: zneužívaná chyba v klientovi umožňuje spustiť súbory bez súhlasu technika