Para: organizações que usam o ScreenConnect (em especial provedores de serviços gerenciados e equipes de TI que gerenciam dispositivos de clientes) e os clientes desses provedores. Este artigo é uma explicação baseada no comunicado oficial da ConnectWise e não trata de passos de ataque nem de indicadores de comprometimento.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
- Quem é afetado
organizações que usam o ScreenConnect (em especial provedores de serviços gerenciados e equipes de TI que gerenciam dispositivos de clientes) e os clientes desses provedores.
- Confirmado até agoraVer a tabela ↓
- Ambientes de parceiros com uma extensão da família RMM+ instalada
- Desativação preventiva
- Instalações de clientes não autorizados nos ambientes de clientes da empresa de segurança que investiga
Apontado como possivelmente afetado
- Abuso de extensões de terceiros como porta de entrada
- Ainda não confirmado
- Como os invasores entraram inicialmente (a empresa diz que não foi estabelecido)
- O alcance completo: quais ambientes de parceiros e de clientes foram afetados (a empresa não tem visibilidade após o acesso inicial)
- A avaliação final das extensões de terceiros (a empresa continua validando)
Mais 1
- Mais orientações sobre as extensões desativadas (a empresa diz para não reativá-las até novas orientações)
- O que fazer agoraVer os passos ↓
- Confira se as extensões listadas estão desativadas e mantenha-as assim
- Atualize todos os clientes de técnico para a 26.6.5 ou posterior
- Reduza a permissão Transfer Files enquanto as atualizações estiverem pendentes
Mais 4
- Revogue sessões e redefina credenciais a partir de um dispositivo confiável, com MFA
- Investigue com ferramentas separadas e preserve os registros
- Fique atento a logins incomuns e a software de acesso remoto não aprovado
- Clientes de um provedor de serviços gerenciados: pergunte ao seu provedor
- Onde verificar (fonte)Todas as fontes ↓
- ConnectWise, «ScreenConnect security advisory: Precautionary extension disabling and partner guidance» (comunicado oficial do Trust Center; publicado pela primeira vez em 11 de novembro de 2026 às 22:45 UTC, última atualização em 13 de novembro às 21:15 UTC; verificado em 14 de novembro)
- Última verificação
- Em 14 de novembro de 2026
Próximos avisos e o que verificamos
A empresa diz que continuará validando as constatações, conciliando as informações de alcance e atualizando seu Trust Center conforme as informações forem confirmadas. Quando verificamos em 14 de novembro de 2026, a entrada mais recente era a atualização de 13 de novembro às 21:15 UTC. O blog da empresa de segurança também acrescentou uma segunda onda em sua atualização das 22:30 UTC de 13 de novembro.
O que os usuários do ScreenConnect devem fazer hoje
Confira se as extensões listadas estão desativadas e mantenha-as assim
O comunicado lista cinco extensões de terceiros desenvolvidas de forma independente para desativação preventiva: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link e RMM+ Password Link. A empresa as desativou em cerca de 400 ambientes na nuvem. Como não consegue desativá-las em ambientes locais em nome dos parceiros, parceiros com instalações locais devem desativá-las imediatamente (atualização de 13 de novembro). Nessa atualização, diz também que desativou mais três extensões em ambientes na nuvem e de marketplace (ITBoost Integration, RepairShopr Integration, Guest Session Starter), incentiva fortemente todos os parceiros a fazer o mesmo, dentro e fora de instalações locais, e pede que as desativem imediatamente como medida de contenção preventiva. Todos que as têm devem verificar seu estado e evitar reativá-las ou reinstalá-las até novas orientações. Veja as instruções de remoção de extensões na página da empresa.
Atualize todos os clientes de técnico para a 26.6.5 ou posterior
Isso vale tanto para usuários hospedados na nuvem quanto para os de instalações locais. Verifique a versão instalada em cada estação de trabalho de técnico, porque atualizar um console na nuvem não atualiza os clientes de técnico. A empresa diz que as versões 26.6.5 e posteriores bloqueiam a tentativa de propagação de um equipamento para a estação de trabalho de um técnico. Acrescenta que isso não remove um comprometimento existente.
Reduza a permissão Transfer Files enquanto as atualizações estiverem pendentes
Revise as funções e as permissões de seus grupos de sessão e desative Transfer Files onde não for necessário (versões mais antigas podem chamá-la de TransferFilesInSession). A empresa descreve isso como uma redução temporária de risco, não um substituto da atualização.
Revogue sessões e redefina credenciais a partir de um dispositivo confiável, com MFA
A empresa pede que se revoguem todas as sessões web ativas do ScreenConnect e as sessões associadas do provedor de identidade, que se redefinam as credenciais relevantes e que se exija MFA. Uma simples redefinição de senha não invalida todas as sessões existentes. Veja o guia de autenticação multifator.
Investigue com ferramentas separadas e preserve os registros
Não use o próprio ScreenConnect para investigar nem limpar dispositivos afetados; use as capacidades de resposta de um EDR ou outro método fora de banda confiável, e inclua as estações de trabalho de técnico que se conectaram a dispositivos afetados. Preserve primeiro os registros de autenticação, de instalação de extensões, de administração, de Run Command e de Toolbox; depois limpe os comandos e ferramentas em fila no servidor, remova o software não autorizado e a persistência, e valide antes de reconectar os dispositivos.
Fique atento a logins incomuns e a software de acesso remoto não aprovado
A empresa lista logins incomuns, solicitações de MFA inesperadas, novos administradores, alterações de permissões, software de acesso remoto não aprovado e comandos ou instalações de extensões inesperados. Pede também que se verifiquem por um canal confiável solicitações de suporte e mensagens de redefinição de senha inesperadas. Veja O que é phishing.
Clientes de um provedor de serviços gerenciados: pergunte ao seu provedor
A empresa não tem visibilidade da atividade dentro dos ambientes dos parceiros após o acesso inicial, portanto não pode dizer se os dispositivos de um cliente foram afetados. Pergunte ao seu provedor se ele usou o ScreenConnect e essas extensões, e o que verificou (opinião deste site).
O que aconteceu (segundo o comunicado da ConnectWise)
Esta seção se baseia no comunicado da ConnectWise «ScreenConnect security advisory: Precautionary extension disabling and partner guidance» em seu Trust Center. É o relato da própria empresa e não foi verificado por terceiros. Os horários são os informados pela empresa (UTC).
8 de setembro
A empresa lança a versão 26.6.5 do cliente ScreenConnect, que corrige o CVE-2026-84869, um problema anterior do cliente. Mais tarde diz que essa versão bloqueia a técnica de propagação descrita neste incidente (correção anterior).11 de novembro, 17:47 UTC (12 de novembro, 2:47 JST)
Uma empresa de segurança que investigou a atividade observa atividade suspeita nos ambientes de seus clientes; ela alcança pelo menos 288 endpoints de 48 organizações em cerca de 90 minutos (blog da empresa). É anterior ao primeiro comunicado da ConnectWise.11 de novembro, 22:45 UTC (12 de novembro, 7:45 JST)
A empresa publica seu primeiro comunicado. Diz ter conhecimento de relatos de acesso não autorizado a contas de parceiros e de implantação de software de acesso remoto não autorizado em ambientes de clientes, lista cinco extensões de terceiros que podem estar envolvidas e diz que as desativou em cerca de 400 ambientes de parceiros por precaução.12 de novembro, 02:45 UTC (11:45 JST)
Primeira atualização. Repete que nenhum comprometimento da sua infraestrutura nem vulnerabilidade do ScreenConnect foi encontrado, e informa que as extensões oferecem uma API capaz de executar comandos remotos, protegida por uma frase secreta definida pelo parceiro.12 de novembro, 18:45 UTC (13 de novembro, 3:45 JST)
Segunda atualização. Acrescenta a orientação de atualizar os clientes de técnico para a 26.6.5 ou posterior e de revisar a permissão Transfer Files, e relata as constatações de pesquisadores externos.13 de novembro, 16:12 UTC (14 de novembro, 1:12 JST)
A empresa de segurança que investiga registra uma segunda onda: 205 endpoints de 41 organizações (blog da empresa, atualizado às 22:30 UTC).13 de novembro, 21:15 UTC (14 de novembro, 6:15 JST)
A terceira atualização. Mais três extensões desativadas em ambientes na nuvem e de marketplace; parceiros com instalações locais devem desativá-las imediatamente; pesquisadores relatam atividade adicional visando ambientes locais.
- O que a empresa investiga
- Acesso não autorizado a certos ambientes ScreenConnect de parceiros e implantação de software de acesso remoto não autorizado em ambientes de clientes
- Avaliação inicial
- A atividade pode envolver o abuso, por um agente de ameaça, de extensões de terceiros independentes instaladas em ambientes de parceiros. Ainda em validação. O método de acesso inicial e o alcance completo não foram estabelecidos
- As extensões
- Uma API capaz de executar comandos remotos, protegida por uma frase secreta configurada pelo parceiro durante a instalação. A mera presença das extensões não estabelece comprometimento
- Relatos de pesquisadores externos (não verificados pela empresa)
- Os invasores usaram o acesso a consoles de parceiros para implantar clientes ScreenConnect não autorizados e um conjunto de ferramentas projetado para se propagar às estações de trabalho de técnico que se conectam. Os pesquisadores dizem não ter observado essa propagação ter sucesso. Relatam também uma falha de autenticação em uma extensão. A empresa diz que avalia essas constatações. Um CVE foi atribuído a um problema na extensão de terceiros
- Ações da empresa
- Desativou as extensões em cerca de 400 ambientes na nuvem, orientou os parceiros com instalações locais a desativá-las, contatou diretamente os parceiros afetados e enviou e-mails aos parceiros do ScreenConnect, e tomou medidas de proteção adicionais, incluindo coordenar esforços para interromper a infraestrutura maliciosa relatada
- Visibilidade
- A empresa não tem visibilidade nem telemetria da atividade dentro dos ambientes dos parceiros após o acesso inicial, e não consegue determinar de forma independente o que pode ter acontecido nos ambientes afetados de parceiros ou clientes
- Onde procurar
- O comunicado também publica indicadores de comprometimento relatados para a investigação, que este artigo não reproduz. Diz que a ausência de correspondências não descarta comprometimento
O que se sabe e o que não se sabe
A situação em 13 de novembro de 2026. Atualizaremos a coluna de situação quando houver mais publicações.
| Item | Conteúdo | Situação |
|---|---|---|
| Acesso não autorizado a ambientes ScreenConnect de parceiros e implantação de software de acesso remoto não autorizado | A empresa tem conhecimento de relatos e investiga | Em investigação |
| Ambientes de parceiros com uma extensão da família RMM+ instalada | Cerca de 400 (não é uma contagem de comprometimentos confirmados) | Confirmado (a empresa) |
| Desativação preventiva | Feita nos ambientes na nuvem; parceiros com instalações locais precisam fazê-la por conta própria | Confirmado (a empresa) |
| Abuso de extensões de terceiros como porta de entrada | Avaliação inicial, ainda em validação | Possível (avaliação da empresa) |
| Comprometimento da infraestrutura da ConnectWise | Nenhum indício encontrado | Não confirmado (a empresa) |
| Uma vulnerabilidade do ScreenConnect no acesso inicial | Nenhum indício encontrado | Não confirmado (a empresa) |
| Propagação para estações de trabalho de técnico | Os pesquisadores dizem não ter observado sucesso; a empresa diz que a 26.6.5 e posteriores bloqueiam a técnica | Em investigação |
| Atividade dentro de ambientes de parceiros e clientes após o acesso inicial | A empresa não tem visibilidade | Não informado |
| Método de acesso inicial e alcance completo | Não estabelecidos | Em investigação |
| Instalações de clientes não autorizados nos ambientes de clientes da empresa de segurança que investiga | 11 de novembro: pelo menos 288 endpoints de 48 organizações (cerca de 90 minutos). 13 de novembro: 205 endpoints de 41 organizações. Blog oficial da empresa | Confirmado (a empresa de segurança; dentro de sua base de clientes) |
| Número total de parceiros e clientes afetados | Não informado no comunicado da empresa | Não informado |
Como ler: o número são ambientes com as extensões, não vítimas
Os «cerca de 400» são o número de ambientes de parceiros que tinham pelo menos uma dessas extensões instalada. A empresa diz que isso reflete a instalação, não comprometimentos confirmados. O comunicado não informa um total de quantas organizações foram realmente afetadas. Os pelo menos 288 endpoints de 48 organizações da empresa de segurança são uma contagem dentro de sua própria base de clientes; não são um total de vítimas nem a mesma população dos «cerca de 400». A avaliação sobre as extensões também é descrita pela empresa como inicial e ainda em validação.
O que pode acontecer quando ferramentas de gerenciamento remoto são abusadas
O que segue é o que em geral pode acontecer, não uma afirmação de que algo disso tenha ocorrido em um ambiente específico. O que a empresa diz ter ocorrido se limita a «O que aconteceu» acima.
Uma ferramenta de acesso remoto usada por um provedor de TI pode executar comandos em todos os dispositivos que gerencia e transferir arquivos para eles. Se alguém assume o controle do console da ferramenta ou da estação de trabalho de um técnico, esse alcance se estende aos clientes do provedor. Por isso a empresa pede que a investigação seja feita com ferramentas separadas, e por isso os clientes de um provedor têm motivo para perguntar o que foi verificado.
O que as organizações que usam ferramentas de gerenciamento remoto devem revisar
Esta seção não avalia a resposta da empresa nem adivinha os detalhes técnicos da intrusão. A partir do relato publicado, limita-se a pontos a verificar na sua própria configuração, e são opinião deste site.
Mantenha uma lista das extensões e complementos instalados na sua ferramenta de acesso remoto
As extensões deste caso foram desenvolvidas de forma independente e adicionadas pelos parceiros. Saiba quais complementos estão instalados, quem os aprovou e o que podem fazer, e remova os que não forem necessários (opinião deste site).
Verifique se qualquer API que execute comandos está protegida por algo além de uma única frase secreta
A empresa descreve uma API capaz de executar comandos remotos, protegida por uma frase secreta definida durante a instalação. Um recurso que pode executar comandos em dispositivos gerenciados merece uma autenticação e uma restrição de rede mais fortes do que um segredo compartilhado (opinião deste site).
Acompanhe a versão do cliente de técnico, não só a do console
A empresa observa que atualizar um console na nuvem não atualiza os clientes de técnico. Mantenha um inventário da versão do cliente em cada estação de trabalho de técnico (opinião deste site).
Conceda direitos de transferência de arquivos e de comandos remotos apenas às funções que precisam deles
A medida temporária da empresa é desativar Transfer Files onde não for necessário. Revise as funções regularmente para que uma única conta comprometida não consiga mover arquivos para todos os dispositivos (opinião deste site).
Mantenha uma forma de investigar que não dependa da ferramenta sob suspeita
A empresa pede que não se use o ScreenConnect para investigar. Tenha pronto um EDR ou outra forma fora de banda de isolar e inspecionar dispositivos antes de precisar dela (opinião deste site).
Fontes (registros públicos)
Os fatos deste artigo vêm das informações públicas abaixo. Detalhes de passos de ataque e indicadores de comprometimento não são tratados.
- ConnectWise, «ScreenConnect security advisory: Precautionary extension disabling and partner guidance» (comunicado oficial do Trust Center; publicado pela primeira vez em 11 de novembro de 2026 às 22:45 UTC, última atualização em 13 de novembro às 21:15 UTC; verificado em 14 de novembro) — connectwise.com
- Empresa de segurança que investigou, blog oficial (publicado em 11 de novembro de 2026, atualizado em 13 de novembro às 22:30 UTC; verificado em 14 de novembro; observações nos ambientes de seus próprios clientes) — huntress.com
Histórico de atualizações
2026-11-14: Acrescentadas as contagens confirmadas da empresa de segurança que investiga (pelo menos 288 endpoints de 48 organizações em 11 de novembro; 205 endpoints de 41 organizações em 13 de novembro) e refletida a atualização da ConnectWise de 13 de novembro (21:15 UTC): mais três extensões desativadas, e parceiros com instalações locais devem desativá-las imediatamente. Os números são dentro da base de clientes dessa empresa, não um total de vítimas.
2026-11-13: Primeira versão. Baseada no comunicado da ConnectWise atualizado em 12 de novembro (18:45 UTC). Atualizaremos quando houver mais publicações.
Leia em seguida
- Um incidente semelhante com uma ferramenta de gerenciamento remoto: Vulnerabilidade do N-able N-central explorada após a publicação de código de teste
- Outro incidente da mesma empresa, em outro produto: ConnectWise Cloud Backup e Microsoft 365
- Proteger as contas: Guia de autenticação multifator / O que é phishing
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026