Para: organizaciones que usan ScreenConnect (en especial proveedores de servicios gestionados y equipos de TI que gestionan los dispositivos de clientes) y los clientes de esos proveedores. Este artículo es una explicación basada en el aviso oficial de ConnectWise y no trata pasos de ataque ni indicadores de compromiso.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
organizaciones que usan ScreenConnect (en especial proveedores de servicios gestionados y equipos de TI que gestionan los dispositivos de clientes) y los clientes de esos proveedores.
- Confirmado hasta ahoraVer la tabla ↓
- Entornos de socios con una extensión de la familia RMM+ instalada
- Desactivación preventiva
- Instalaciones de clientes no autorizados en los entornos de clientes de la empresa de seguridad que investiga
Señalado como posiblemente afectado
- Abuso de extensiones de terceros como vía de entrada
- Aún sin confirmar
- Cómo entraron los atacantes en un primer momento (la empresa dice que no se ha establecido)
- El alcance completo: qué entornos de socios y de clientes se vieron afectados (la empresa no tiene visibilidad después del acceso inicial)
- La evaluación final de las extensiones de terceros (la empresa sigue validando)
1 más
- Más indicaciones sobre las extensiones desactivadas (la empresa dice que no se reactiven hasta nuevas indicaciones)
- Qué hacer ahoraVer los pasos ↓
- Compruebe que las extensiones indicadas están desactivadas y manténgalas así
- Actualice todos los clientes de técnico a la 26.6.5 o posterior
- Reduzca el permiso Transfer Files mientras las actualizaciones estén pendientes
4 más
- Revoque sesiones y restablezca credenciales desde un dispositivo de confianza, con MFA
- Investigue con herramientas independientes y conserve los registros
- Vigile los inicios de sesión inusuales y el software de acceso remoto no aprobado
- Clientes de un proveedor de servicios gestionados: pregunte a su proveedor
- Dónde verificarlo (fuente)Todas las fuentes ↓
- ConnectWise, «ScreenConnect security advisory: Precautionary extension disabling and partner guidance» (aviso oficial del Trust Center; publicado por primera vez el 11 de noviembre de 2026 a las 22:45 UTC, última actualización el 13 de noviembre a las 21:15 UTC; consultado el 14 de noviembre)
- Última comprobación
- A fecha del 14 de noviembre de 2026
Próximos avisos y qué comprobamos
La empresa dice que seguirá validando los hallazgos, conciliando la información de alcance y actualizando su Trust Center a medida que se confirme la información. Cuando lo consultamos el 14 de noviembre de 2026, la entrada más reciente era la actualización del 13 de noviembre a las 21:15 UTC. El blog de la empresa de seguridad también añadió una segunda oleada en su actualización de las 22:30 UTC del 13 de noviembre.
Qué deben hacer hoy los usuarios de ScreenConnect
Compruebe que las extensiones indicadas están desactivadas y manténgalas así
El aviso enumera cinco extensiones de terceros desarrolladas de forma independiente para su desactivación preventiva: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link y RMM+ Password Link. La empresa las desactivó en unos 400 entornos en la nube. Como no puede desactivarlas en entornos de instalaciones locales en nombre de los socios, los socios con instalaciones locales deben desactivarlas de inmediato (actualización del 13 de noviembre). En esa actualización dice también que desactivó tres extensiones más en entornos en la nube y de marketplace (ITBoost Integration, RepairShopr Integration, Guest Session Starter), anima encarecidamente a todos los socios a hacer lo mismo dentro y fuera de las instalaciones locales, y les pide desactivarlas de inmediato como medida de contención preventiva. Todos los que las tengan deben verificar su estado y evitar reactivarlas o reinstalarlas hasta nuevas indicaciones. Véanse las instrucciones de eliminación de extensiones en la página de la empresa.
Actualice todos los clientes de técnico a la 26.6.5 o posterior
Esto vale tanto para los usuarios alojados en la nube como para los de instalaciones locales. Compruebe la versión instalada en cada estación de trabajo de técnico, porque actualizar una consola en la nube no actualiza los clientes de técnico. La empresa dice que las versiones 26.6.5 y posteriores bloquean el intento de propagación desde un equipo a la estación de trabajo de un técnico. Añade que esto no elimina un compromiso existente.
Reduzca el permiso Transfer Files mientras las actualizaciones estén pendientes
Revise los roles y los permisos de sus grupos de sesión y desactive Transfer Files donde no sea necesario (las versiones más antiguas pueden llamarlo TransferFilesInSession). La empresa lo describe como una reducción temporal del riesgo, no un sustituto de la actualización.
Revoque sesiones y restablezca credenciales desde un dispositivo de confianza, con MFA
La empresa pide revocar todas las sesiones web activas de ScreenConnect y las sesiones asociadas del proveedor de identidad, restablecer las credenciales pertinentes y exigir MFA. Un simple restablecimiento de contraseña no invalida todas las sesiones existentes. Véase la guía de la autenticación multifactor.
Investigue con herramientas independientes y conserve los registros
No use el propio ScreenConnect para investigar ni limpiar los dispositivos afectados; use las capacidades de respuesta de un EDR u otro método fuera de banda de confianza, e incluya las estaciones de trabajo de técnico que se conectaron a dispositivos afectados. Conserve primero los registros de autenticación, de instalación de extensiones, de administración, de Run Command y de Toolbox; después borre los comandos y herramientas en cola en el servidor, elimine el software no autorizado y la persistencia, y valide antes de reconectar los dispositivos.
Vigile los inicios de sesión inusuales y el software de acceso remoto no aprobado
La empresa enumera inicios de sesión inusuales, solicitudes de MFA inesperadas, nuevos administradores, cambios de permisos, software de acceso remoto no aprobado y comandos o instalaciones de extensiones inesperados. También pide verificar por un canal de confianza las solicitudes de soporte y los mensajes de restablecimiento de contraseña inesperados. Véase Qué es el phishing.
Clientes de un proveedor de servicios gestionados: pregunte a su proveedor
La empresa no tiene visibilidad de la actividad dentro de los entornos de los socios después del acceso inicial, por lo que no puede decir si los dispositivos de un cliente se vieron afectados. Pregunte a su proveedor si usó ScreenConnect y estas extensiones, y qué ha comprobado (opinión de este sitio).
Qué pasó (según el aviso de ConnectWise)
Esta sección se basa en el aviso de ConnectWise «ScreenConnect security advisory: Precautionary extension disabling and partner guidance» en su Trust Center. Es el relato de la propia empresa y no ha sido verificado por un tercero. Las horas son las que indica la empresa (UTC).
8 de septiembre
La empresa publica la versión 26.6.5 del cliente de ScreenConnect, que corrige CVE-2026-84869, un problema anterior del cliente. Más tarde dice que esta versión bloquea la técnica de propagación descrita en este incidente (corrección anterior).11 de noviembre, 17:47 UTC (12 de noviembre, 2:47 JST)
Una empresa de seguridad que investigó la actividad observa actividad sospechosa en los entornos de sus clientes; alcanza al menos 288 equipos de 48 organizaciones en unos 90 minutos (blog de la empresa). Es anterior al primer aviso de ConnectWise.11 de noviembre, 22:45 UTC (12 de noviembre, 7:45 JST)
La empresa publica su primer aviso. Dice que tiene conocimiento de informes de acceso no autorizado a cuentas de socios y de despliegue de software de acceso remoto no autorizado en entornos de clientes, enumera cinco extensiones de terceros que pueden estar implicadas y dice que las desactivó en unos 400 entornos de socios como precaución.12 de noviembre, 02:45 UTC (11:45 JST)
Primera actualización. Repite que no se ha encontrado un compromiso de su infraestructura ni una vulnerabilidad de ScreenConnect, e indica que las extensiones ofrecen una API capaz de ejecutar comandos remotos, protegida por una frase de contraseña establecida por el socio.12 de noviembre, 18:45 UTC (13 de noviembre, 3:45 JST)
Segunda actualización. Añade la indicación de actualizar los clientes de técnico a la 26.6.5 o posterior y de revisar el permiso Transfer Files, e informa de los hallazgos de investigadores externos.13 de noviembre, 16:12 UTC (14 de noviembre, 1:12 JST)
La empresa de seguridad que investiga registra una segunda oleada: 205 equipos de 41 organizaciones (blog de la empresa, actualizado a las 22:30 UTC).13 de noviembre, 21:15 UTC (14 de noviembre, 6:15 JST)
La tercera actualización. Tres extensiones más desactivadas en entornos en la nube y de marketplace; los socios con instalaciones locales deben desactivarlas de inmediato; los investigadores informan de actividad adicional dirigida a entornos de instalaciones locales.
- Qué investiga la empresa
- Acceso no autorizado a ciertos entornos ScreenConnect de socios y despliegue de software de acceso remoto no autorizado en entornos de clientes
- Evaluación inicial
- La actividad puede implicar el abuso por parte de un actor de amenazas de extensiones de terceros independientes instaladas en entornos de socios. Aún se está validando. No se han establecido el método de acceso inicial ni el alcance completo
- Las extensiones
- Una API capaz de ejecutar comandos remotos, protegida por una frase de contraseña configurada por el socio durante la instalación. La sola presencia de las extensiones no establece un compromiso
- Informes de investigadores externos (no verificados por la empresa)
- Los atacantes usaron el acceso a consolas de socios para desplegar clientes ScreenConnect no autorizados y un conjunto de herramientas diseñado para propagarse a las estaciones de trabajo de técnico que se conectan. Los investigadores dicen que no han observado que esa propagación tuviera éxito. También informan de un fallo de autenticación en una extensión. La empresa dice que evalúa estos hallazgos. Se ha asignado un CVE a un problema de la extensión de terceros
- Acciones de la empresa
- Desactivó las extensiones en unos 400 entornos en la nube, aconsejó a los socios con instalaciones locales que las desactivaran, contactó directamente con los socios afectados y envió correos a los socios de ScreenConnect, y tomó medidas de protección adicionales, entre ellas coordinar esfuerzos para interrumpir la infraestructura maliciosa notificada
- Visibilidad
- La empresa no tiene visibilidad ni telemetría de la actividad dentro de los entornos de los socios después del acceso inicial, y no puede determinar de forma independiente qué pudo ocurrir en los entornos afectados de socios o clientes
- Dónde mirar
- El aviso publica también indicadores de compromiso notificados para la investigación, que este artículo no reproduce. Dice que la ausencia de coincidencias no descarta un compromiso
Qué se sabe y qué no
La situación a fecha del 13 de noviembre de 2026. Actualizaremos la columna de estado cuando se publique más.
| Elemento | Contenido | Estado |
|---|---|---|
| Acceso no autorizado a entornos ScreenConnect de socios y despliegue de software de acceso remoto no autorizado | La empresa tiene conocimiento de informes y lo investiga | En investigación |
| Entornos de socios con una extensión de la familia RMM+ instalada | Unos 400 (no es un recuento de compromisos confirmados) | Confirmado (la empresa) |
| Desactivación preventiva | Hecha en los entornos en la nube; los socios con instalaciones locales deben hacerla ellos mismos | Confirmado (la empresa) |
| Abuso de extensiones de terceros como vía de entrada | Evaluación inicial, aún en validación | Posible (evaluación de la empresa) |
| Compromiso de la infraestructura de ConnectWise | No se han encontrado indicios | No confirmado (la empresa) |
| Una vulnerabilidad de ScreenConnect en el acceso inicial | No se han encontrado indicios | No confirmado (la empresa) |
| Propagación a estaciones de trabajo de técnico | Los investigadores dicen que no han observado que tuviera éxito; la empresa dice que la 26.6.5 y posteriores bloquean la técnica | En investigación |
| Actividad dentro de entornos de socios y clientes después del acceso inicial | La empresa no tiene visibilidad | No indicado |
| Método de acceso inicial y alcance completo | No establecidos | En investigación |
| Instalaciones de clientes no autorizados en los entornos de clientes de la empresa de seguridad que investiga | 11 de noviembre: al menos 288 equipos de 48 organizaciones (unos 90 minutos). 13 de noviembre: 205 equipos de 41 organizaciones. Blog oficial de la empresa | Confirmado (la empresa de seguridad; dentro de su base de clientes) |
| Número total de socios y clientes afectados | No indicado en el aviso de la empresa | No indicado |
Cómo leerlo: la cifra son entornos con las extensiones, no víctimas
Los «unos 400» son el número de entornos de socios que tenían instalada al menos una de estas extensiones. La empresa dice que esto refleja la instalación, no compromisos confirmados. El aviso no da un total de cuántas organizaciones se vieron realmente afectadas. Los al menos 288 equipos de 48 organizaciones de la empresa de seguridad son un recuento dentro de su propia base de clientes; no son un total de víctimas ni la misma población que los «unos 400». La evaluación sobre las extensiones también la describe la empresa como inicial y aún en validación.
Qué puede ocurrir cuando se abusa de herramientas de gestión remota
Lo siguiente es lo que puede ocurrir en general, no una afirmación de que algo de ello haya ocurrido en un entorno concreto. Lo que la empresa dice que ha ocurrido se limita a «Qué pasó» más arriba.
Una herramienta de acceso remoto usada por un proveedor de TI puede ejecutar comandos en todos los dispositivos que gestiona y transferirles archivos. Si alguien toma el control de la consola de la herramienta o de la estación de trabajo de un técnico, ese alcance se extiende a los clientes del proveedor. Por eso la empresa pide investigar con herramientas independientes, y por eso los clientes de un proveedor tienen motivos para preguntar qué se comprobó.
Qué deben revisar las organizaciones que usan herramientas de gestión remota
Esta sección no evalúa la respuesta de la empresa ni adivina los detalles técnicos de la intrusión. A partir del relato publicado, se limita a puntos que comprobar en su propia configuración, y son opinión de este sitio.
Mantenga una lista de las extensiones y complementos instalados en su herramienta de acceso remoto
Las extensiones de este caso fueron desarrolladas de forma independiente y añadidas por los socios. Sepa qué complementos están instalados, quién los aprobó y qué pueden hacer, y elimine los que no sean necesarios (opinión de este sitio).
Compruebe que cualquier API que ejecute comandos esté protegida por algo más que una sola frase de contraseña
La empresa describe una API capaz de ejecutar comandos remotos, protegida por una frase de contraseña establecida durante la instalación. Una función que puede ejecutar comandos en dispositivos gestionados merece una autenticación y una restricción de red más fuertes que un secreto compartido (opinión de este sitio).
Siga la versión del cliente de técnico, no solo la de la consola
La empresa señala que actualizar una consola en la nube no actualiza los clientes de técnico. Mantenga un inventario de la versión del cliente en cada estación de trabajo de técnico (opinión de este sitio).
Conceda los derechos de transferencia de archivos y de comandos remotos solo a los roles que los necesitan
La medida temporal de la empresa es desactivar Transfer Files donde no sea necesario. Revise los roles con regularidad para que una sola cuenta comprometida no pueda mover archivos a todos los dispositivos (opinión de este sitio).
Mantenga una forma de investigar que no dependa de la herramienta bajo sospecha
La empresa pide no usar ScreenConnect para investigar. Tenga preparado un EDR u otra forma fuera de banda de aislar e inspeccionar dispositivos antes de necesitarla (opinión de este sitio).
Fuentes (registros públicos)
Los hechos de este artículo proceden de la información pública siguiente. No se tratan los detalles de los pasos del ataque ni los indicadores de compromiso.
- ConnectWise, «ScreenConnect security advisory: Precautionary extension disabling and partner guidance» (aviso oficial del Trust Center; publicado por primera vez el 11 de noviembre de 2026 a las 22:45 UTC, última actualización el 13 de noviembre a las 21:15 UTC; consultado el 14 de noviembre) — connectwise.com
- Empresa de seguridad que investigó, blog oficial (publicado el 11 de noviembre de 2026, actualizado el 13 de noviembre a las 22:30 UTC; consultado el 14 de noviembre; observaciones en los entornos de sus propios clientes) — huntress.com
Historial de actualizaciones
2026-11-14: Se añaden los recuentos confirmados de la empresa de seguridad que investiga (al menos 288 equipos de 48 organizaciones el 11 de noviembre; 205 equipos de 41 organizaciones el 13 de noviembre) y se refleja la actualización de ConnectWise del 13 de noviembre (21:15 UTC): tres extensiones más desactivadas, y los socios con instalaciones locales deben desactivarlas de inmediato. Las cifras son dentro de la base de clientes de esa empresa, no un total de víctimas.
2026-11-13: Primera versión. Basada en el aviso de ConnectWise actualizado el 12 de noviembre (18:45 UTC). Actualizaremos cuando se publique más.
Lectura recomendada
- Un incidente similar con una herramienta de gestión remota: Vulnerabilidad de N-able N-central explotada tras publicarse código de prueba
- Otro incidente de la misma empresa, en otro producto: ConnectWise Cloud Backup y Microsoft 365
- Proteger las cuentas: Guía de la autenticación multifactor / Qué es el phishing
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026