ScreenConnectのリモートアクセスサポート・アクセスセッションにおけるファイル転送機能の脆弱性が、クラウド版とオンプレミス版の両方に影響を及ぼしていることを、ConnectWiseが確認しました。
「CVE識別子と正式な修正パッチは今週中に発行される予定です」と、同社は9月3日付のアドバイザリで述べています。
ScreenConnectは、IT部門やマネージドサービスプロバイダー（MSP）向けに設計された人気のリモートサポート・アクセスソリューションです。このプラットフォームはConnectWiseがクラウド上でホストする形態のほか、組織が自前で（オンプレミスまたは独自のプライベートクラウドで）ホストする形態でも利用できます。
今回のアドバイザリは、Huntressが発表した調査結果を受けたものです。同調査では、不正なScreenConnectクライアントが、接続してきた新規端末すべてにマルウェアを拡散させている実態が明らかにされました。
いずれのインシデントも、被害者のマシンに不正なScreenConnectインスタンスを展開させるソーシャルエンジニアリングから始まっていました。Huntressによれば、これはかなり典型的な手口であり、「RMM（リモート監視管理ツール）の悪用は、同社がこの1年間追跡してきた攻撃ベクトルの中でも上位に位置する」といいます。
不正インスタンスが展開された後、クライアントはWindows Script Hostプロセスを繰り返し起動し始めました。これは異常な挙動としてフラグが立てられ、1.vbsから4.vbsという名前の4つのVBScriptファイルを展開するために使われていました。攻撃者はまた、被害を受けたユーザーのAppDataディレクトリ内にある対応スクリプトファイルを指す、WindowsServiceHostという名前のWindowsレジストリRunキーを作成していたことも確認されています。
「この攻撃で使用されたペイロードを分析したところ、ホストのプロファイリングと活動の隠蔽を目的とした、段階的な攻撃であることが判明しました。この攻撃チェーンで特に興味深いのは、改変されたScreenConnectクライアントを使ってVBScriptチェーンを伝播させていた点です。具体的には、接続済みのScreenConnectエンドポイントに対して4つのファイル（1.vbsから4.vbs）を実行させ、新たに接続されたシステム間でワームのように拡散させていました」と研究者らは指摘しています。
これらのスクリプトは、システムの探索や、追加コンポーネントの取得・起動に使用されていました。Huntressは、永続化、ScreenConnectの追加インストール、トンネリング、セキュリティ制御の変更、暗号資産のマイニングに関連するペイロードを確認したと報告しています。
修正パッチが提供されるまでの間、ConnectWiseはパートナー企業に対し、技術担当者によるファイル転送機能を無効化するよう推奨しています。
管理者は、Administration > Security > Rolesに移動し、割り当てられている各ロールを編集して、各セッショングループの権限を確認することでこれを実施できます。TransferFile（レガシーバージョンではTransferFilesInSession）が有効になっている場合は、選択を解除する必要があります。この変更は該当するすべてのロールに適用しなければなりません。
「この設定変更にバージョンアップグレードは不要で、直ちに適用できます」とConnectWiseは述べています。
Huntressは、ゲストプロセスに紐づくRunFilesまたはRanFilesのエントリがないか、ScreenConnectの監査ログを確認するよう推奨するとともに、すでに侵害の兆候が見られるマシンについては、信頼できる正規のメディアから再イメージ化することを推奨しています。
「ConnectWiseとのやり取り、および現時点でのリスクの理解を踏まえ、管理者の皆さまには、環境内にあるオンプレミスのScreenConnectインストールに対して、特に注意を払うことをお勧めします」とHuntressは付け加えています。
翻訳元: https://www.helpnetsecurity.com/2026/09/07/connectwise-screenconnect-file-transfer-flaw/
