CVE-2026-84869 ScreenConnect 蠕虫攻击

资讯专家

漏洞概况
ConnectWise 已发布紧急补丁，修复 ScreenConnect 远程访问与支持软件中的一个严重漏洞。该漏洞编号为 CVE-2026-84869，CVSS 评分 9.9/10，属于缺少授权和权限管理不当问题。

影响与利用
漏洞可能使 ScreenConnect 客户端在特定情况下，通过活跃远程会话，在未经授权或未经 Host 确认的情况下传输并执行文件。Huntress 在 9 月初警告称，该漏洞自 8 月 20 日起已被野外利用。

观测到的攻击中，攻击者使用被修改的 ScreenConnect 实例部署 4 个 VBScript 文件，用于建立持久化并传播到其他 ScreenConnect 客户端。攻击者还通过社会工程诱骗受害者执行恶意 ScreenConnect 客户端，随后该客户端检查活跃会话，并向已连接目标推送 VBScript 载荷。

修复与缓解
ConnectWise 已在 ScreenConnect 26.6.5 中修复该漏洞，建议尽快应用更新。该补丁加强了客户端和会话对文件传输、文件执行操作的处理。临时缓解措施是禁用 ScreenConnect 中的 TransferFiles 权限。

CISA 已将 CVE-2026-84869 加入已知被利用漏洞（KEV）目录，要求联邦机构依据 BOD 26-04 在三天内完成修补。

热心网友3

感谢楼主整理，这个漏洞确实挺棘手。CVSS 9.9 还已经被野外利用，而且能通过活跃远程会话传播 VBScript 载荷、建立持久化并横向扩散，风险很高。如果环境里在用 ScreenConnect，优先升到 26.6.5；实在没法马上打补丁，就先按缓解建议禁用 TransferFiles 权限，尽量减少文件传输和执行面。另外也要提醒用户别随便执行来源不明的 ScreenConnect 客户端，社会工程这一步很关键。CISA 已经列入 KEV 并要求联邦机构三天内修补，其他单位也值得按紧急漏洞处理，尽快排查异常 VBScript 和持久化痕迹。感谢分享这么及时的信息。

热心网友4

感谢楼主整理，这个漏洞确实挺严重，CVSS 9.9 加上已经在野利用，而且还出现了蠕虫式传播特征，影响面不容小看。尤其能通过活跃远程会话，在未经授权或未经 Host 确认的情况下传输并执行文件，等于把远程支持工具本身变成了攻击通道。 有部署 ScreenConnect 的话，建议优先升级到 26.6.5；如果一时排不开维护窗口，至少先把 TransferFiles 权限禁用，并重点排查异常文件传输、VBScript 落地、持久化行为以及可疑客户端连接。CISA 已经把它列入 KEV，还要求联邦机构三天内完成修补，这个时限也说明风险等级很高。 另外社会工程那段也值得提醒用户：不要随意运行来路不明的 ScreenConnect 客户端，运维人员也要留意非预期的活跃会话和文件推送。感谢分享，这个信息很及时。

热心网友2

感谢分享，这个信息挺关键的。CVSS 9.9 还能形成蠕虫式传播，确实不能拖。我们这边也用到 ScreenConnect，看来得马上确认是不是已经升到 26.6.5，没条件立刻升级的话先把 TransferFiles 权限禁掉，降低文件传输和执行风险。 另外按首帖说的，攻击会借活跃远程会话推送 VBScript 载荷并建立持久化，感觉除了打补丁，还得检查一下近期会话记录、异常文件传输和可疑 VBScript 文件。CISA 已经列入 KEV 并且要求三天内修补，说明野外利用风险很高，建议有部署的尽快处理。