Nieautoryzowani klienci ScreenConnect na 288 komputerach w 48 organizacjach

ConnectWise wyłączył pięć zewnętrznych rozszerzeń w środowiskach partnerów ScreenConnect po zgłoszeniach nieautoryzowanego dostępu. Według Huntress atakujący mieli dostęp do paneli ScreenConnect w chmurze. Wysyłali z nich polecenia Run, które instalowały nieautoryzowanych klientów ScreenConnect na co najmniej 288 zarządzanych komputerach w 48 organizacjach. Aktywność wykryto 11 listopada 2026 około 17:47 UTC. ConnectWise nie widzi śladów włamania do swojej infrastruktury ani podatności w ScreenConnect. Huntress też nie widzi nowej podatności. Sposób, w jaki atakujący dostali się do paneli, nadal jest badany.

Kogo dotyczy

Sprawa dotyczy partnerów korzystających z ScreenConnect, którzy mają zainstalowane jedno z pięciu wskazanych rozszerzeń. ConnectWise naliczył około 400 takich środowisk. Według firmy sama obecność rozszerzenia nie oznacza włamania. Rozszerzenia udostępniają API do zdalnego wykonywania poleceń, a dostęp do niego chroni hasło ustawione przez partnera podczas konfiguracji. Pośrednio sprawa dotyczy też firm, których komputerami partnerzy zarządzają zdalnie.

Co zrobić

ConnectWise zaleca partnerom z instalacją lokalną wyłączenie tych rozszerzeń. Wszystkim partnerom zaleca sprawdzenie, czy ich zabezpieczenia działają, oraz zachowanie logów podejrzanej aktywności.