Die Schwachstelle in ConnectWise ScreenConnect wird aktiv ausgenutzt. Das teilte die US-Behörde CISA mit, die den Fehler in ihren Katalog bekanntermaßen ausgenutzter Schwachstellen aufgenommen hat.
„ConnectWise ScreenConnect enthält sowohl eine Schwachstelle durch unsachgemäße Rechteverwaltung als auch eine fehlende Autorisierungsprüfung, die es einem Angreifer erlauben kann, über aktive Fernsitzungen Dateien ohne Autorisierung oder Bestätigung durch den Host zu übertragen und auszuführen“, erklärte CISA. Solche Schwachstellen seien ein häufiger Angriffsvektor für böswillige Akteure und stellten ein erhebliches Risiko für die Bundesbehörden dar.
Die Lücke wird unter CVE-2026-84869 geführt und ist in ScreenConnect 26.6.5 und neueren Versionen geschlossen. Betroffen sind ScreenConnect-Clients. Angreifer benötigen lediglich grundlegende Rechte, die Angriffe gelten als wenig komplex und kommen ohne Zutun eines Nutzers aus. Bereits am 7. September hatte ConnectWise vorläufige Gegenmaßnahmen veröffentlicht und empfohlen, die TransferFiles-Berechtigungen abzuschalten.
US-Bundesbehörden hat CISA eine ungewöhnlich knappe Frist gesetzt: Innerhalb von drei Tagen müssen sie ihre Systeme gegen die laufenden Angriffe absichern. Wie viele Organisationen bereits betroffen sind, nennt die Behörde nicht.
Der Handlungsdruck ist erheblich, denn der Beobachtungsdienst Shadowserver zählt weiterhin über 1.000 ungepatchte und öffentlich erreichbare ScreenConnect-Instanzen. Der Schwerpunkt liegt in Nordamerika mit 758 Systemen, gefolgt von Europa mit 180.
ScreenConnect steht seit Jahren im Fokus von Angreifern. Seit 2024 hat CISA insgesamt vier Sicherheitsprobleme der Software als aktiv ausgenutzt eingestuft; zwei davon wurden auch in Ransomware-Angriffen missbraucht. Ausgenutzt werden die Lücken sowohl von finanziell motivierten als auch von staatlich unterstützten Gruppen: 2024 griffen die nordkoreanische Gruppe Kimsuky sowie mehrere Ransomware-Banden über CVE-2024-1709 an.
Auch ConnectWise selbst wurde zum Ziel. Im vergangenen Jahr tauschte das Unternehmen seine digitalen Code-Signing-Zertifikate aus, nachdem es einen Einbruch in die eigenen Systeme offengelegt hatte. Mutmaßlich staatlich gesteuerte Angreifer waren über Code-Injection-Angriffe eingedrungen, die eine ViewState-Schwachstelle (CVE-2025-3935) ausnutzten, und hatten auf die Cloud-Instanzen einer begrenzten Zahl von Kunden zugegriffen. Im März schloss ConnectWise zudem eine Schwachstelle bei der Prüfung kryptografischer Signaturen (CVE-2026-3564), über die Angreifer ungepatchte ScreenConnect-Server hätten übernehmen können.
Die Reichweite der Plattform erklärt ihre Attraktivität für Angreifer: ConnectWise bedient nach eigenen Angaben mehr als 100.000 IT-Dienstleister weltweit. Zahlreiche Managed Service Provider und interne IT-Teams nutzen ScreenConnect für den Fernzugriff auf Kundensysteme, für Fehlerbehebung, Patch-Verteilung und Wartung – ein kompromittierter Server kann damit den Zugang zu vielen nachgelagerten Systemen eröffnen.