対象：ScreenConnectを使う組織（特にMSPや、顧客の端末を管理するIT担当）と、その委託先を使う顧客。本記事はConnectWiseの公式勧告にもとづく解説で、攻撃の手順や侵害の痕跡（IOC）は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
ScreenConnectを使う組織（特にMSPや、顧客の端末を管理するIT担当）と、その委託先を使う顧客。
- 影響が確認された範囲表で見る ↓
- RMM+系の拡張機能が入っていたパートナー環境
- 予防的な無効化
- 権限のないクライアントの導入（調査したセキュリティ企業の顧客環境）
可能性があるとされた項目
- 第三者の拡張機能の悪用が入口だった可能性
- 未確認事項
- 攻撃者が最初にどう入ったか（同社は確定していないとしている）
- 全体の範囲：どのパートナーと顧客の環境が影響を受けたか（同社は侵入後の動きを把握できない）
- 第三者の拡張機能についての最終的な評価（同社は検証を続けている）
さらに1件
- 無効化した拡張機能についての今後の案内（同社は、追って案内があるまで再び有効にしないよう求めている）
- 今やること手順を見る ↓
- 対象の拡張機能が無効のままか確かめ、無効のままにする
- 技術者用クライアントをすべて26.6.5以降に更新する
- 更新が済むまで、ファイル転送（Transfer Files）の権限を絞る
さらに4件
- 信頼できる端末から、セッション失効と認証情報の再設定、MFAの強制を行う
- 別のツールで調べ、ログを保全する
- 不審なサインインや、承認していない遠隔操作ソフトに気をつける
- 運用を委託している顧客：委託先に尋ねる
- 確認先（出典）出典の一覧 ↓
- ConnectWise「ScreenConnect security advisory: Precautionary extension disabling and partner guidance」（Trust Centerの公式勧告。英語。2026年11月11日22:45 UTC初公表、11月13日21:15 UTC最終更新。11月14日に確認）
- 最終確認日時
- 2026年11月14日時点
発表の続報予定と確認の記録
同社は、判明した内容の検証と範囲の突き合わせを続け、確認できしだいTrust Centerを更新するとしています。2026年11月14日に確認した範囲では、最新の更新は11月13日21:15 UTCのものでした。調査したセキュリティ企業のブログは、11月13日22:30 UTC（米東部時間17:30）の更新で2回目の波を追記しています。
ScreenConnectの利用者が今日やること
対象の拡張機能が無効のままか確かめ、無効のままにする
勧告は、予防的な無効化の対象として、独立した開発者による5つの拡張機能を挙げています。Labtech Plus、RMM Plus、RMM+、RMM Plus Password Link、RMM+ Password Linkです。同社は約400のクラウド環境でこれらを無効化しました。オンプレミスの利用者は、同社がオンプレミスの環境では代わりに無効化できないため、今すぐ自分で無効化する必要があります（11月13日の更新）。同社はこの更新で、クラウドとマーケットプレイスでさらに3つ（ITBoost Integration、RepairShopr Integration、Guest Session Starter）を無効化したと書き、すべてのパートナーに、オンプレミスでも同じ対応を強く勧めています。予防的な封じ込め措置として今すぐ無効化するよう求めています。入れていた人は全員、状態を確かめ、追って案内があるまで再び有効にしたり入れ直したりしないでください。外し方は同社のページの手順にあります。
技術者用クライアントをすべて26.6.5以降に更新する
クラウドでもオンプレミスでも同じです。クラウドのコンソールを更新しても技術者用クライアントは更新されないため、技術者のPCごとに入っているバージョンを確かめます。同社は、26.6.5以降では、端末から技術者のPCへ広がろうとする手法が防がれると確認したとしています。ただし、すでにある侵害は取り除かれないとも書いています。
更新が済むまで、ファイル転送（Transfer Files）の権限を絞る
ロールとセッショングループの権限を見直し、必要のないところではTransfer Filesを無効にします（古い版ではTransferFilesInSessionと表示）。同社はこれを一時的なリスク低減策で、更新の代わりにはならないとしています。
信頼できる端末から、セッション失効と認証情報の再設定、MFAの強制を行う
同社は、有効なScreenConnectのWebセッションと関連するIDプロバイダーのセッションをすべて失効させ、関係する認証情報を再設定し、MFAを強制するよう求めています。パスワードの再設定だけでは既存のセッションがすべては無効にならない、とも書いています。多要素認証ガイドも参照してください。
別のツールで調べ、ログを保全する
影響を受けた端末の調査や掃除にScreenConnectを使わず、EDRの対応機能など、別の信頼できる方法を使います。影響を受けた端末に接続した技術者のPCも調べの対象に入れます。認証、拡張機能の導入、管理、Run Command、Toolboxの記録を先に保全し、そのあとでサーバー上の待機中のコマンドとツールを消し、不正なソフトと居座りの仕組みを取り除き、確かめてから端末を再接続します。
不審なサインインや、承認していない遠隔操作ソフトに気をつける
同社は、不審なサインイン、予期しないMFAの要求、新しい管理者、権限の変更、承認していない遠隔操作ソフト、予期しないコマンドや拡張機能の導入を挙げています。予期しないサポート依頼やパスワード再設定のメッセージは、信頼できる経路で確かめるよう求めています。フィッシングとはも参照してください。
運用を委託している顧客：委託先に尋ねる
同社は、侵入後のパートナー環境内の動きは把握できず、顧客の端末が影響を受けたかは判断できないとしています。委託先がScreenConnectとこれらの拡張機能を使っていたか、何を確認したかを尋ねてください（当サイトの見解）。
何が起きたのか（ConnectWiseの勧告より）
この節は、ConnectWiseのTrust Centerの勧告「ScreenConnect security advisory: Precautionary extension disabling and partner guidance」にもとづきます。同社自身の説明で、第三者の検証は受けていません。時刻は同社の表記（UTC）で、日本時間を添えます。
9月8日
同社が、以前のクライアントの問題CVE-2026-84869を修正したScreenConnectクライアント26.6.5を公開。同社は、この版が今回の件で説明されている広がりの手法を防ぐと、のちに述べている（以前の修正）。11月11日 22:45 UTC（日本時間12日7:45）
同社が最初の勧告を公表。パートナーのアカウントへの不正アクセスと、顧客の環境での権限のない遠隔操作ソフトの導入の報告を把握していること、関与した可能性のある5つの第三者の拡張機能を挙げたこと、約400のパートナー環境で予防的に無効化したことを書いている。11月12日 02:45 UTC（日本時間11:45）
1回目の更新。自社の基盤の侵害やScreenConnectの脆弱性は見つかっていないと改めて述べ、拡張機能が、遠隔でコマンドを実行できるAPIを持ち、パートナーが設定時に決めた合言葉で守られていると説明。11月11日 17:47 UTC（日本時間12日2:47ごろ）
調査したセキュリティ企業が、自社の顧客環境で不審な活動を観測。約90分で少なくとも288台・48組織に及んだ（同社のブログ）。ConnectWiseの最初の勧告より前の観測。11月12日 18:45 UTC（日本時間13日3:45）
2回目の更新。技術者用クライアントを26.6.5以降にする案内とTransfer Filesの権限の見直しを加え、第三者の研究者の報告を紹介。11月13日 16:12 UTC（日本時間14日1:12）
調査したセキュリティ企業が、2回目の波が始まったと記録。205台・41組織（同社のブログ、22:30 UTCの更新）。11月13日 21:15 UTC（日本時間14日6:15）
3回目の更新。クラウドとマーケットプレイスで無効化した拡張機能が3つ増えた。オンプレミスは今すぐ無効化が必要で、研究者がオンプレミス環境への追加の活動を報告しているとした。
- 同社が調べていること
- 一部のパートナーのScreenConnect環境への不正アクセスと、顧客の環境での権限のない遠隔操作ソフトの導入
- 初期の評価
- パートナーの環境に入れていた、独立した第三者の拡張機能を攻撃者が悪用した可能性がある。検証中。初期侵入の方法と全体の範囲は確定していない
- 拡張機能について
- 遠隔でコマンドを実行できるAPIを持ち、パートナーが設定時に決めた合言葉で守られている。入っていたことだけで侵害があったとは言えない
- 第三者の研究者の報告（同社は未検証）
- 攻撃者はパートナーのコンソールへのアクセスで、権限のないScreenConnectクライアントと、接続してきた技術者のPCへ広がるよう作られたツールを入れた。研究者は、その広がりの成功は確認していないとしている。また、拡張機能の認証に欠陥があるとも報告。同社はこれらの報告を評価中。第三者の拡張機能の問題にはCVEが割り当てられている
- 同社の対応
- 約400のクラウド環境で拡張機能を無効化。オンプレミスの利用者には自分で無効化するよう案内。影響を受けたパートナーに直接連絡し、ScreenConnectのパートナー全体にメールで案内。報告された悪意あるインフラを止める調整など、追加の保護措置も実施
- 把握できる範囲
- 同社は、侵入後のパートナー環境内の動きを見る手段（テレメトリ）を持たず、影響を受けたパートナーや顧客の環境で何が起きたかを独自には判断できない
- 調査の手がかり
- 勧告には、調査用の侵害の痕跡（IOC）も載っているが、本記事では転載しない。一致がなくても侵害がないとは言えない、と同社は書いている
分かっていること・分かっていないこと
2026年11月13日時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| パートナーのScreenConnect環境への不正アクセスと、権限のない遠隔操作ソフトの導入 | 同社は報告を把握し、調査している | 調査中 |
| RMM+系の拡張機能が入っていたパートナー環境 | 約400（侵害が確認された数ではない） | 確認済み（同社） |
| 予防的な無効化 | クラウドの環境では実施済み。オンプレミスは利用者が実施 | 確認済み（同社） |
| 第三者の拡張機能の悪用が入口だった可能性 | 初期の評価。検証中 | 可能性（同社の見立て） |
| ConnectWiseの基盤の侵害 | 証拠は見つかっていない | 確認されていない（同社） |
| 初期侵入へのScreenConnectの脆弱性の関与 | 証拠は見つかっていない | 確認されていない（同社） |
| 技術者のPCへの広がり | 研究者は成功を確認していない。同社は26.6.5以降で手法が防がれるとしている | 調査中 |
| 侵入後のパートナー・顧客の環境内の動き | 同社は把握できない | 記載なし |
| 初期侵入の方法と全体の範囲 | 確定していない | 調査中 |
| 権限のないクライアントの導入（調査したセキュリティ企業の顧客環境） | 11月11日：少なくとも288台・48組織（約90分）。11月13日：205台・41組織。同社の公式ブログ | 確認済み（調査会社。同社の顧客の範囲） |
| 影響を受けたパートナーと顧客の全体の数 | ConnectWiseの勧告には書かれていない | 記載なし |
読み方の注意：約400は拡張機能が入っていた環境の数で、被害者の数ではない
「約400」は、これらの拡張機能が1つ以上入っていたパートナー環境の数です。同社は、導入の数であり、侵害が確認された数ではないとしています。実際に何組織が影響を受けたかの全体の数字は、勧告にありません。調査したセキュリティ企業の少なくとも288台・48組織は、同社の顧客環境で見つけた数で、全体の被害数でも、「約400」と同じ範囲の数でもありません。拡張機能についての評価も、同社が初期のもので検証中と書いています。
遠隔管理のツールが悪用されると、何が起きうるか
以下は一般に言えることで、特定の環境でこれらが起きたという意味ではありません。同社が起きたとしているのは、上の「何が起きたのか」の範囲です。
IT事業者が使う遠隔操作のツールは、管理している端末のすべてでコマンドの実行やファイルの転送ができます。ツールのコンソールや技術者のPCを握られると、その影響は事業者の顧客にまで及びえます。同社が別のツールでの調査を求めるのも、委託先の顧客が何を確認したかを尋ねる理由があるのも、そのためです。
遠隔管理のツールを運用する組織が見直すこと
本節は同社の対応を評価するものではなく、侵入の技術的な内容も推測しません。公表された経過から、当サイトの見解として、自社の構成で確かめる点に絞ります。
遠隔操作ツールに入れた拡張機能・アドオンの一覧を持つ
今回の拡張機能は、独立した開発者のもので、パートナーが自分で追加したものです。何が入っていて、誰が承認し、何ができるかを把握し、要らないものは外します（当サイトの見解）。
コマンドを実行できるAPIが、1つの合言葉だけで守られていないか確かめる
同社の説明では、遠隔でコマンドを実行できるAPIが、設定時の合言葉で守られていました。管理下の端末でコマンドを動かせる機能は、共有の秘密より強い認証とネットワークの制限に値します（当サイトの見解）。
コンソールだけでなく、技術者用クライアントのバージョンも管理する
同社は、クラウドのコンソールを更新しても技術者用クライアントは更新されないと書いています。技術者のPCごとのバージョンを台帳で持ちます（当サイトの見解）。
ファイル転送とリモートコマンドの権限は、必要な役割だけに与える
同社の一時的な措置は、必要のないところでTransfer Filesを無効にすることです。ロールを定期的に見直し、1つのアカウントが破られても全端末にファイルを送れないようにします（当サイトの見解）。
疑っているツールに頼らない調査手段を持つ
同社は、調査にScreenConnectを使わないよう求めています。EDRなど、端末を隔離して調べる別の手段を、必要になる前に用意しておきます（当サイトの見解）。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。攻撃の手順の詳細と侵害の痕跡は扱っていません。
- ConnectWise「ScreenConnect security advisory: Precautionary extension disabling and partner guidance」（Trust Centerの公式勧告。英語。2026年11月11日22:45 UTC初公表、11月13日21:15 UTC最終更新。11月14日に確認） — connectwise.com
- 調査したセキュリティ企業の公式ブログ（英語。2026年11月11日公開、11月13日22:30 UTC更新。11月14日に確認。同社の顧客環境の観測） — huntress.com
更新履歴
2026-11-14：調査したセキュリティ企業の確認数（11月11日に少なくとも288台・48組織、11月13日に205台・41組織）を追加。ConnectWiseの11月13日（21:15 UTC）の更新で、無効化した拡張機能が3つ増え、オンプレミスは今すぐ無効化が必要になったことを反映。同社の顧客環境の数で、全体の被害数ではないと明記。
2026-11-13：初版。11月12日（18:45 UTC）に更新されたConnectWiseの勧告にもとづく。続報が出たら更新します。
次に読む
- 同じ種類のリモート管理ソフトの事案：N-able N-centralの脆弱性が公開された検証コードの直後に悪用された疑い
- 同じ会社の別製品の事案：ConnectWise Cloud BackupとMicrosoft 365
- アカウントを守る：多要素認証ガイド ／ フィッシングとは
- ほかの2026年の事案：2026年の情報漏洩・サイバー攻撃まとめ