Die Schwachstelle in ScreenConnect trägt die Kennung CVE-2026-84869 und erreicht mit 9,9 von 10 Punkten nahezu den höchsten möglichen CVSS-Wert. ConnectWise stuft sie als Kombination aus fehlender Autorisierung und unsachgemäßer Rechteverwaltung ein. Laut Hersteller-Advisory entsteht im ScreenConnect-Client “ein Zustand, der es unter bestimmten Umständen erlauben kann, Dateien über eine aktive Fernsitzung zu übertragen und auszuführen — ohne Autorisierung oder Bestätigung durch den Host”.
Genau diese Eigenschaft machten Angreifer sich zunutze. Die Sicherheitsfirma Huntress meldete Anfang September, dass die Lücke bereits seit dem 20. August in freier Wildbahn ausgenutzt wird. In den beobachteten Vorfällen kam eine modifizierte ScreenConnect-Instanz zum Einsatz, über die vier VBScript-Dateien ausgerollt wurden. Deren Aufgabe: dauerhaften Zugang sichern und sich auf weitere ScreenConnect-Clients ausbreiten.
Der Ausgangspunkt der Kette war Social Engineering. Die Angreifer brachten ihre Opfer dazu, manipulierte ScreenConnect-Clients auszuführen. Diese prüften anschließend, ob aktive Sitzungen bestehen, und schoben die VBScript-Nutzlast an die damit verbundenen Ziele weiter — ein Mechanismus, der der Kampagne ihren wurmartigen Charakter verleiht, weil jede kompromittierte Installation zum Ausgangspunkt für die nächste Infektionsstufe werden kann.
Behoben ist der Fehler in ScreenConnect 26.6.5. Nach Angaben von ConnectWise enthält dieser Patch “Änderungen, die die Verarbeitung von Clients und Sitzungen bei Dateiübertragungs- und Dateiausführungsaktionen härten”. Der Hersteller drängt darauf, die Aktualisierung unverzüglich einzuspielen. Wer nicht sofort patchen kann, soll übergangsweise die Berechtigung TransferFiles in ScreenConnect abschalten — damit entfällt der Weg, über den die Angreifer ihre Skripte in bestehende Sitzungen einschleusen.
Auch auf behördlicher Seite hat der Fall Konsequenzen: Die US-Cybersicherheitsbehörde CISA nahm CVE-2026-84869 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) auf. Bundesbehörden in den USA müssen die Lücke innerhalb von drei Tagen schließen; diese verkürzte Frist ergibt sich aus der Direktive BOD 26-04.
Fernwartungswerkzeuge wie ScreenConnect sind für Angreifer besonders attraktiv, weil sie per Design weitreichenden Zugriff auf verbundene Systeme besitzen. Im vorliegenden Fall ließ sich diese legitime Funktionalität ohne Host-Bestätigung zweckentfremden — aus einem Werkzeug für den Support wurde damit ein Verteilungskanal für Schadcode.