בכלי תמיכה מרחוק הכוח נמצא תמיד בצד אחד: הטכנאי שמתחבר רואה את המסך, מעביר קבצים ומריץ אותם, והמחשב הנתמך רק נענה. CVE-2026-84869 הופכת את הכיוון הזה, ובגרסאות המושפעות של ScreenConnect אפשר בתנאים מסוימים להעביר קבצים ולהריץ אותם בתוך סשן פעיל בלי שהצד שמתחבר אישר משהו. הציון ברשומה הוא 9.9.

סקירה כללית

ScreenConnect של ConnectWise נפוצה אצל ספקי IT מנוהל ומוקדי תמיכה. בכל סשן יש שני צדדים: תוכנת לקוח שיושבת על המחשב הנתמך ומחזיקה את החיבור, והצד שמתחבר ומנהל את הסשן, זה שנקרא Host. העברת קובץ והרצה שלו הן הפעולות החזקות ביותר בכלי כזה, ולכן הן אמורות לעבור אישור של ה-Host.

בגרסאות שלפני התיקון הבדיקה הזאת לא תמיד נאכפת, ודווקא בכיוון ההפוך: מהלקוח אל ה-Host. המשמעות המעשית היא שמחשב שכבר הודבק מסוגל להדביק את מי שמתחבר אליו כדי לעזור. שרתי ScreenConnect עצמם אינם מושפעים, כך שארגונים שעדכנו את השרת נשארו חשופים דרך הלקוח.

מזהה: CVE-2026-84869
סוג: הרשאות שאינן נאכפות בצד הלקוח (CWE-269, CWE-862)
מוצר: ConnectWise ScreenConnect, תוכנת הלקוח בלבד
גרסאות מושפעות: כל גרסה שלפני 26.6.5.9742
גרסה מתוקנת: 26.6.5
ניצול בפועל: כן, ברשימת ה-KEV של CISA מ-11 בספטמבר 2026

ציר זמן

20 באוגוסט 2026: Huntress מזהה שני אירועים נפרדים שבהם לקוח ScreenConnect שעבר שינוי מדביק מחשבים נוספים.
24 באוגוסט: אירוע שלישי, בארגון שאינו קשור לשני הראשונים.
3 בספטמבר: ConnectWise מפרסמת התראה וממליצה לכבות את הרשאת TransferFiles, בלי תיקון ובלי מזהה CVE.
8 בספטמבר: יוצאת גרסה 26.6.5, והחולשה מקבלת את המזהה CVE-2026-84869.
11 בספטמבר: CISA מוסיפה אותה לרשימת ה-KEV וקובעת את 14 בספטמבר כמועד האחרון לתיקון בגופים הפדרליים.

איך הניצול עובד

התוקף לא מתחיל מהחולשה אלא מהשתלת לקוח ScreenConnect משלו על מחשב הקורבן, ולפי Huntress בהנדסה חברתית פשוטה: הונאת תמיכה טכנית דרך Quick Assist, מתקין MSI שהגיע בפישינג, וטופס זיכוי מזויף בשם Geek Squad. אחר כך הלקוח המושתל מחכה. ברגע שמישהו פותח מולו סשן, הוא מנצל את היעדר אכיפת ההרשאות, דוחף אל הצד השני ארבעה קבצי VBScript ומסמן אותם להרצה, כך שהם רצים על המחשב של מי שהתחבר. משם השרשרת מתחילה מחדש, וזה מה שהופך אירוע בודד לתולעת. סיקרנו את הקמפיין הזה כשהתפרסם.

ניתוח ציון ה-CVSS

ציון CVSS: 9.9

מה שמונע מהחולשה להגיע ל-10 הוא שהתוקף צריך להחזיק מראש את צד הלקוח בסשן. כל השאר פתוח לרווחה: מי שמתחבר לא צריך ללחוץ על כלום, וההשתלטות על המחשב שלו מלאה. אצל ספק IT מנוהל זה בדיוק המחשב שמחזיק חיבורים אל עשרות לקוחות אחרים.

איפה למצוא Proof of Concept (PoC)

PoC ציבורי ל-CVE הזה לא פורסם, ובדקנו. התיעוד הטכני המפורט ביותר שקיים כרגע הוא המחקר של Huntress, שמתאר את שלושת האירועים, את שרשרת הסקריפטים ואת סימני הזיהוי. ההודעה הרשמית של ConnectWise מכילה תיאור ומדריך עדכון, בלי פרטי ניצול.

מי שמפעיל ScreenConnect מול לקוחות צריך להתייחס לכל לקוח שטרם עודכן ל-26.6.5 כאל מחשב שמסוכן להתחבר אליו, כי בכיוון הזה מי שבא לעזור נפגע ראשון.