ScreenConnect: zneužívaná chyba v klientovi umožňuje spustit soubory bez souhla…

Co se stalo

ConnectWise ScreenConnect je program pro vzdálenou podporu a správu počítačů, který běžně používají IT oddělení i externí IT dodavatelé (MSP). Výrobce 8. září 2026 vydal verzi 26.6.5, která opravuje chybu CVE-2026-84869. Chyba je v klientovi ScreenConnect: během aktivní vzdálené relace se za určitých okolností mohly přenést a spustit soubory bez oprávnění a bez potvrzení technika, kterému ScreenConnect říká „Host“. Serverů ScreenConnect se chyba podle ConnectWise netýká.

Společnost Huntress zaznamenala koncem srpna 2026 útoky, při kterých upravení klienti ScreenConnect sami přenášeli a spouštěli škodlivé skripty na nově připojené počítače. Podle The Hacker News tyto útoky zneužívaly právě CVE-2026-84869 a vedly až k instalaci XMRig, programu na těžbu kryptoměn. Americká agentura CISA zařadila chybu 11. září 2026 do katalogu aktivně zneužívaných zranitelností a evropská databáze EUVD ji eviduje jako zneužívanou od téhož dne.

V listopadu 2026 se téma vrátilo. ConnectWise vyšetřuje neoprávněný přístup do některých partnerských prostředí ScreenConnect. Společnost Blackpoint Cyber potvrdila, že nalezený útočný nástroj SCKit zneužívá CVE-2026-84869 a že oprava ho zablokuje. ConnectWise zatím nenašel důkaz, že by útočníci získali prvotní přístup přes zranitelnost ScreenConnect. Prověřuje spíše zneužití rozšíření od třetích stran.

Proč je to nebezpečné

Jde o chybějící kontrolu oprávnění (CWE-862) a nesprávnou správu privilegií (CWE-269). Představte si technika, který přijde k zákazníkovi opravit počítač, a zákazník mu nepozorovaně vloží do tašky balíček, který se sám otevře v jeho kanceláři. U ScreenConnect to znamená, že během relace mohl soubor projít a spustit se, aniž by to kdokoli povolil.

Podle vektoru CVSS útok probíhá přes síť, je nenáročný a nevyžaduje zásah uživatele, útočník však potřebuje nízkou úroveň oprávnění. Blackpoint Cyber popisuje, jak to využívá nástroj SCKit: z napadeného spravovaného počítače se pokusí poslat škodlivý kód zpět na počítač technika, který se k němu připojí. Pokud uspěje, hledá v prohlížeči technika přihlášenou relaci ScreenConnect a přes jeho oprávnění posílá příkazy na další počítače, podle Blackpoint Cyber s oprávněním NT AUTHORITY\SYSTEM. Útok se tak může dostat k dalším zákazníkům. Výzkumníci zatím nezaznamenali, že by se takové šíření na počítač technika podařilo.

Výrobce ConnectWise hodnotí chybu podle CVSS 3.1 skórem 9,9 z 10, což je kritická úroveň. Ve vlastním bulletinu ji označil jako „Important“ s prioritou 1 (High) a doporučuje opravu během několika dní. Katalog CISA KEV je seznam chyb, o kterých americká agentura CISA ví, že se skutečně zneužívají. Federální úřady v USA ji musely opravit do 14. září 2026.

EPSS je statistický odhad pravděpodobnosti zneužití v následujících 30 dnech. K 12. listopadu 2026 činí přibližně 0,9 % (61. percentil). Protože zneužití už potvrdila CISA, tento nízký odhad není důvodem k otálení.

Koho se to týká

Zasaženi jsou klienti ConnectWise ScreenConnect ve verzích starších než 26.6.5, v cloudu i při lokální (on-premise) instalaci. Nejvíce ohroženi jsou technici a IT dodavatelé (MSP), kteří se přes ScreenConnect připojují k počítačům zákazníků, protože útok míří na jejich pracovní stanice.

Samotných serverů ScreenConnect se chyba podle ConnectWise netýká. Aktualizace cloudové konzole ale automaticky neaktualizuje klienty na počítačích techniků. Pokud ScreenConnect nepoužíváte vy, ale váš externí IT dodavatel, zeptejte se ho, zda už má klienty aktualizované.

Zvlášť pozorní by měli být uživatelé rozšíření z rodiny RMM+: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link a RMM+ Password Link. Huntress našel v RMM+ ve verzích 1.0.31 a 1.0.32 chybu, kdy rozšíření přijalo prázdný přístupový klíč, pokud ho správce nenastavil.

Jak zjistit, zda jste zasaženi

Verzi serveru zjistíte v administraci ScreenConnect na stránce Administration > Overview. Najdete tam i „Latest Eligible Version“, tedy nejvyšší verzi, na kterou máte nárok podle licence. Cloudové instance už ConnectWise aktualizoval na 26.6.5.

Rozhodující je verze klienta na každém počítači technika, verze konzole nestačí. V PowerShellu ji zjistíte příkazem, který registr jen čte:

Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*, HKLM:\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*, HKCU:\Software\Microsoft\Windows\CurrentVersion\Uninstall\* -ErrorAction SilentlyContinue | Where-Object { $_.DisplayName -like "*ScreenConnect*" } | Select-Object DisplayName, DisplayVersion

Pokud klient v seznamu není, vyhledejte soubor ScreenConnect.WindowsClient.exe a podívejte se na jeho verzi:

Get-ChildItem "$env:LOCALAPPDATA\Apps", "${env:ProgramFiles(x86)}" -Recurse -Filter ScreenConnect.WindowsClient.exe -ErrorAction SilentlyContinue | Select-Object FullName, @{n="Version";e={$_.VersionInfo.FileVersion}}

V části Administration > Security > Roles zkontrolujte, které role mají povoleno TransferFiles (ve starších verzích TransferFilesInSession). V seznamu rozšíření ověřte, zda nemáte nainstalované některé z rozšíření RMM+.

Jak to opravit

Opravená verze je ScreenConnect 26.6.5. ConnectWise doporučuje nasadit ji jako urgentní změnu, nejpozději během několika dní. Postupujte v tomto pořadí:

Lokální server: na stránce Administration > Overview ověřte, že máte verzi 25.4 nebo novější a že 26.6.5 je pro vaši licenci dostupná. Pokud licence nemá platnou údržbu, je nutné ji nejprve obnovit. Pokud vám obnova připadá na rok 2026, na verzi 26.6 máte nárok i bez ní.
Server aktualizujte na 26.6.5 podle návodu ConnectWise. Partneři s integrací do ConnectWise Automate najdou aktualizaci na stránce Automate Product Updates. Cloud aktualizoval výrobce sám.
Na každém počítači technika přeinstalujte klienta (host client) a ověřte, že má verzi 26.6.5 nebo novější. Aktualizujte také přístupové agenty (access agents) na spravovaných počítačích.
Rozšíření z rodiny RMM+ nechte vypnutá a znovu je neinstalujte. Při lokální instalaci je vypněte hned. V přibližně 400 cloudových prostředích je ConnectWise preventivně vypnul sám.
Z důvěryhodného zařízení zrušte všechny aktivní webové relace ScreenConnect i relace u poskytovatele identit, změňte přístupové údaje a vynuťte vícefaktorové ověření (MFA). Samotná změna hesla stávající relace nezruší. Projděte také seznam uživatelů a jejich oprávnění.

Dočasné opatření, pokud nemůžete aktualizovat hned: v Administration > Security > Roles upravte každou roli, u každé skupiny relací zrušte oprávnění TransferFiles (dříve TransferFilesInSession) a změny uložte. ConnectWise zdůrazňuje, že to aktualizaci nenahrazuje.

Co když už jste mohli být napadeni

Huntress doporučuje považovat za podezřelé záznamy RunFiles nebo RanFiles v audit logu ScreenConnect, které ukazují spouštění skriptů 1.vbs až 4.vbs z procesu Guest. Další indikátory od Huntress a Blackpoint Cyber:

proces ScreenConnect.WindowsClient.exe spouští wscript.exe
položka WindowsServiceHost v klíči Run, která ukazuje na WindowsServiceHost.vbs ve složce AppData
soubory sc.msi, sckit-run.bat, sckit-decoder.ps1, SilentForceInstall-WithUninstall.ps1, neznámé instalace ScreenConnect nebo UltraViewer
spojení na 45.13.237[.]190, 131.123.40[.]98, 15.204.185[.]204 nebo ns.mo7sen[.]dev

Položky klíče Run pro přihlášeného uživatele vypíšete příkazem níže. Spusťte ho pod každým uživatelem počítače a hledejte WindowsServiceHost:

reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Run

ConnectWise radí sledovat neobvyklá přihlášení, nečekané výzvy MFA, nové správce, změny oprávnění, neschválený software pro vzdálený přístup a záznamy Run Command, Toolbox a instalace rozšíření. Pokud nic nenajdete, napadení to nevylučuje.

Při podezření nevyšetřujte přes ScreenConnect, použijte EDR nebo jiný nezávislý nástroj a zkontrolujte i počítače techniků. Zachovejte důkazy, napadené servery izolujte a vraťte je do provozu až po prověření, nové instalaci a aktualizaci. Pokud nemáte vlastní bezpečnostní tým, přizvěte specialistu na řešení incidentů.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.

ScreenConnect: zneužívaná chyba v klientovi umožňuje spustit soubory bez souhlasu technika