CVE-2026-84869 ScreenConnect 蠕虫攻击
漏洞概况ConnectWise 已发布紧急补丁，修复 ScreenConnect 远程访问与支持软件中的一个严重漏洞。该漏洞编号为 CVE-2026-84869，CVSS 评分 9.9/10，属于缺少授权和权限管理不当问题。
影响与利用
漏洞可能使 ScreenConnect 客户端在特定情况下，通过活跃远程会话，在未经授权或未经 Host 确认的情况下传输并执行文件。Huntress 在 9 月初警告称，该漏洞自 8 月 20 日起已被野外利用。
观测到的攻击中，攻击者使用被修改的 ScreenConnect 实例部署 4 个 VBScript 文件，用于建立持久化并传播到其他 ScreenConnect 客户端。攻击者还通过社会工程诱骗受害者执行恶意 ScreenConnect 客户端，随后该客户端检查活跃会话，并向已连接目标推送 VBScript 载荷。
修复与缓解
ConnectWise 已在 ScreenConnect 26.6.5 中修复该漏洞，建议尽快应用更新。该补丁加强了客户端和会话对文件传输、文件执行操作的处理。临时缓解措施是禁用 ScreenConnect 中的 TransferFiles 权限。
CISA 已将 CVE-2026-84869 加入已知被利用漏洞（KEV）目录，要求联邦机构依据 BOD 26-04 在三天内完成修补。
Re: CVE-2026-84869 ScreenConnect 蠕虫攻击
感谢楼主整理，这个漏洞确实挺棘手。CVSS 9.9 还已经被野外利用，而且能通过活跃远程会话传播 VBScript 载荷、建立持久化并横向扩散，风险很高。如果环境里在用 ScreenConnect，优先升到 26.6.5；实在没法马上打补丁，就先按缓解建议禁用 TransferFiles 权限，尽量减少文件传输和执行面。另外也要提醒用户别随便执行来源不明的 ScreenConnect 客户端，社会工程这一步很关键。CISA 已经列入 KEV 并要求联邦机构三天内修补，其他单位也值得按紧急漏洞处理，尽快排查异常 VBScript 和持久化痕迹。感谢分享这么及时的信息。Re: CVE-2026-84869 ScreenConnect 蠕虫攻击
感谢楼主整理，这个漏洞确实挺严重，CVSS 9.9 加上已经在野利用，而且还出现了蠕虫式传播特征，影响面不容小看。尤其能通过活跃远程会话，在未经授权或未经 Host 确认的情况下传输并执行文件，等于把远程支持工具本身变成了攻击通道。 有部署 ScreenConnect 的话，建议优先升级到 26.6.5；如果一时排不开维护窗口，至少先把 TransferFiles 权限禁用，并重点排查异常文件传输、VBScript 落地、持久化行为以及可疑客户端连接。CISA 已经把它列入 KEV，还要求联邦机构三天内完成修补，这个时限也说明风险等级很高。 另外社会工程那段也值得提醒用户：不要随意运行来路不明的 ScreenConnect 客户端，运维人员也要留意非预期的活跃会话和文件推送。感谢分享，这个信息很及时。Re: CVE-2026-84869 ScreenConnect 蠕虫攻击
感谢分享，这个信息挺关键的。CVSS 9.9 还能形成蠕虫式传播，确实不能拖。我们这边也用到 ScreenConnect，看来得马上确认是不是已经升到 26.6.5，没条件立刻升级的话先把 TransferFiles 权限禁掉，降低文件传输和执行风险。 另外按首帖说的，攻击会借活跃远程会话推送 VBScript 载荷并建立持久化，感觉除了打补丁，还得检查一下近期会话记录、异常文件传输和可疑 VBScript 文件。CISA 已经列入 KEV 并且要求三天内修补，说明野外利用风险很高，建议有部署的尽快处理。
页:
[1]