ConnectWiseは、今週中に修正パッチを提供する予定の新たなScreenConnect Remote Accessの脆弱性について、暫定的な緩和策を公開しました。
ScreenConnectは、オンプレミスまたはクラウドホスト型のリモートアクセスプラットフォームで、主にマネージドサービスプロバイダー(MSP)、IT部門、サポートチームがトラブルシューティング、パッチ適用、システムメンテナンスに利用しています。
このセキュリティ上の欠陥はクラウド版とオンプレミス版の両方の展開に影響しますが、追跡を容易にするCVE IDはまだ付与されていません。
「ConnectWiseは、ScreenConnect® Remote Access Support and Accessセッションにおけるファイル転送の挙動に影響を及ぼす問題を確認しました」と、同社は木曜日に公開したセキュリティアドバイザリで述べています。
ConnectWiseはこの問題に対する恒久的な修正パッチを現在も開発中ですが、潜在的な攻撃を防ぐための暫定的な緩和策を提供しています。
IT管理者は以下の手順を実施する必要があります。
- ScreenConnectの管理ページにログインする。
- 「Administration」>「Security」>「Roles」に移動する。
- ユーザーロールを編集し、権限が割り当てられているセッショングループ(太字表示)を確認する。
- 「Scoped Permissions」ウィンドウで、各セッショングループの「TransferFiles」権限(レガシー版では「TransferFilesInSession」)の選択を解除する。
- 変更を保存し、すべてのロールについて同じ作業を繰り返す。
インターネットセキュリティ監視団体のShadowserverは現在、約6,000件のScreenConnectインスタンスがインターネット上に公開されていることを確認しています。ただし、これらのシステムのうちどれだけがハニーポットなのか、あるいはすでに対策済みなのかについての情報はありません。
ScreenConnectの脆弱性は、金銭目的の攻撃者と国家の支援を受けたハッキンググループの両方から、実際の攻撃で標的にされることが多くあります。
例えば2024年には、ランサムウェアグループや北朝鮮のAPTハッキンググループKimsukyが、別のScreenConnectの脆弱性(CVE-2024-1709として追跡)を悪用し、脆弱なシステムにマルウェアを送り込んでいました。
昨年には、ConnectWiseは深刻度の高いViewStateコードインジェクションの脆弱性(CVE-2025-3935)を通じて、国家支援を受けたとみられるハッカーに自社システムを侵害され、限られた数の顧客のクラウドベースインスタンスへのアクセスを許してしまったことを公表しています。
また今年3月には、ConnectWiseはScreenConnectの暗号署名検証の脆弱性(CVE-2026-3564として追跡)にも対処しています。この脆弱性は、攻撃者がパッチ未適用のインスタンスを乗っ取ることを可能にするものでした。
2024年2月以降、米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)は3件のScreenConnectの脆弱性を、実際に悪用が確認された脆弱性のカタログに追加しており、そのうち2件はランサムウェア攻撃にも悪用されていました。
