Aktualisieren Sie ConnectWise ScreenConnect sofort auf Version 26.6.5 oder höher.
▸▾Herleitung der Bewertung(5)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2026-84869+25
- Hoechster CVSS-Basiswert 9.9+18
- Wird laut Meldung tatsaechlich ausgenutzt: actively exploited, in the wild+12
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-3564, CVSS-Vektor AV:N/PR:N)+10
- 1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- 2 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2024-1709, CVE-2025-3935
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Critical ScreenConnect flaw now actively exploited in attacks
Eine kritische Schwachstelle in ConnectWise ScreenConnect (CVE-2026-84869) wird aktiv ausgenutzt, um unautorisierte Dateiübertragungen und -ausführungen zu ermöglichen. Betroffen sind ScreenConnect-Clients, insbesondere ungepatchte Instanzen, von denen weltweit über 1.000 online sind. Nutzern wird dringend empfohlen, auf Version 26.6.5 oder höher zu aktualisieren und temporär die TransferFiles-Berechtigungen zu deaktivieren, um Angriffe zu blockieren.
SecBoard-Einordnung
Diese Schwachstelle ermöglicht Angreifern die unautorisierte Übertragung und Ausführung von Dateien, was zu einem vollständigen Systemkompromiss führen kann. Die aktive Ausnutzung erhöht das unmittelbare Risiko für betroffene Organisationen erheblich.
Realistisch schlimmster Fall: Ein Angreifer könnte die Kontrolle über betroffene Systeme erlangen, sensible Daten exfiltrieren, weitere Malware installieren oder Ransomware bereitstellen, was zu Betriebsunterbrechungen und finanziellen Verlusten führen könnte.
Empfehlung: Aktualisieren Sie ConnectWise ScreenConnect sofort auf Version 26.6.5 oder höher. Falls ein sofortiges Update nicht möglich ist, deaktivieren Sie temporär die TransferFiles-Berechtigungen, um die Ausnutzung zu blockieren.
Im erfassten Bestand
- ▸5. erfasste Meldung zu Kimsuky innerhalb von 90 Tagen.
- ▸CVE-2026-84869 kommt damit in 5 erfassten Meldungen der letzten 90 Tage vor.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 9.9 · CRITICAL
- EPSS
- 0.9%
- Über das Netz
- ja
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-09-11
- Patch
- unbekannt
- CVSS
- 9.0 · CRITICAL
- EPSS
- 0.3%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- Patch
- unbekannt
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Betroffen
Organisationen, die ConnectWise ScreenConnect-Clients verwenden, insbesondere ungepatchte Instanzen der Software.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (1)
- cpe:2.3:a:connectwise:screenconnect:*:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie alle ConnectWise ScreenConnect-Instanzen auf die installierte Version und stellen Sie sicher, dass diese 26.6.5 oder höher ist.
- ▸Auditieren Sie die Berechtigungen für 'TransferFiles' in Ihren ScreenConnect-Konfigurationen, um sicherzustellen, dass diese bei ungepatchten Systemen deaktiviert sind.
▸ 1 weitere▾ weniger
- ▸Überwachen Sie Netzwerkverkehr und Systemprotokolle auf ungewöhnliche Dateiübertragungen oder die Ausführung unbekannter Prozesse auf Systemen, auf denen ScreenConnect installiert ist.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen Dateitypen übertragen oder ausgeführt werden können.
- ▸Der genaue Mechanismus der Ausnutzung (z.B. welche spezifischen Befehle oder Skripte ausgeführt werden) ist im Artikel nicht detailliert.
- ▸Es wird nicht angegeben, welche spezifischen Branchen oder Sektoren am stärksten betroffen sind, außer der geografischen Verteilung.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Sind wir hiervon betroffen — und können wir es detektieren?
Erwähnte Akteure & Werkzeuge
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„unautorisierte Dateiübertragungen“
„unautorisierte ... -ausführungen zu ermöglichen“
„unautorisierte ... -ausführungen zu ermöglichen“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
Akteursprofile