ConnectWise beschreibt die neue Schwachstelle bislang nur knapp. “ConnectWise hat ein Problem identifiziert, das das Verhalten bei Dateiübertragungen in Support- und Zugriffssitzungen von ScreenConnect Remote Access betrifft”, heißt es in dem am Donnerstag veröffentlichten Sicherheitshinweis. Weder eine CVE-Nummer noch technische Details zur Ausnutzbarkeit liegen vor.
Während der Hersteller an einer endgültigen Korrektur arbeitet, hat er Übergangsmaßnahmen veröffentlicht, die mögliche Angriffe blockieren sollen und von IT-Administratoren manuell umgesetzt werden müssen. Der eigentliche Patch ist für den Verlauf dieser Woche angekündigt. Betroffen sind ausdrücklich beide Betriebsvarianten – die vom Hersteller gehostete Cloud-Version ebenso wie lokale Installationen.
Wie groß die potenzielle Angriffsfläche ist, lässt sich nur grob abschätzen. Shadowserver erfasst rund 6.000 im Internet exponierte ScreenConnect-Instanzen. Ob und wie viele dieser Systeme lediglich als Köder betrieben werden oder bereits abgesichert sind, geht aus den Daten nicht hervor.
Die Vorgeschichte der Plattform erklärt, warum der Hinweis Aufmerksamkeit verdient. 2024 nutzten Ransomware-Gruppen und die nordkoreanische APT-Gruppe Kimsuky die Schwachstelle CVE-2024-1709 in ScreenConnect aus, um Schadsoftware auf verwundbaren Systemen abzulegen. Seit Februar 2024 hat die US-Cybersicherheitsbehörde CISA insgesamt drei ScreenConnect-Schwachstellen in ihren Katalog aktiv ausgenutzter Lücken aufgenommen; zwei davon wurden auch bei Ransomware-Angriffen missbraucht.
Auch ConnectWise selbst geriet ins Visier: Im vergangenen Jahr räumte das Unternehmen ein, dass mutmaßlich staatlich gesteuerte Angreifer über eine als hochriskant eingestufte ViewState-Code-Injection-Lücke (CVE-2025-3935) in die eigenen Systeme eingedrungen waren und Zugriff auf die cloudbasierten Instanzen einer begrenzten Zahl von Kunden erlangten.
Im März dieses Jahres schloss ConnectWise zudem eine Schwachstelle bei der kryptografischen Signaturprüfung in ScreenConnect (CVE-2026-3564), über die Angreifer ungepatchte Instanzen hätten übernehmen können.
Für Betreiber bedeutet die aktuelle Meldung, dass bis zur Veröffentlichung des Patches allein die vom Hersteller genannten Behelfsmaßnahmen zwischen exponierten Instanzen und einem möglichen Angriff stehen.