2026-11-13
Possível abuso de extensões de terceiros do ScreenConnect (novembro de 2026): a ConnectWise as desativa em cerca de 400 ambientes na nuvem; uma empresa de segurança confirma instalações de clientes não autorizados em pelo menos 288 endpoints de 48 organizações de seus próprios clientes. O que os usuários devem fazer
A ConnectWise publicou em 11 de novembro de 2026 (22:45 UTC) um comunicado de segurança sobre acesso não autorizado a alguns ambientes ScreenConnect de parceiros, e o atualizou em 12 de novembro (02:45 UTC e 18:45 UTC) e em 13 de novembro (21:15 UTC). Segundo a empresa, ela não encontrou indícios de que sua própria infraestrutura tenha sido comprometida nem de que o acesso inicial envolveu uma vulnerabilidade do próprio ScreenConnect. Sua avaliação inicial é que um agente de ameaça pode ter abusado de extensões de terceiros desenvolvidas de forma independente e instaladas em ambientes de parceiros (ainda em validação). Identificou cerca de 400 ambientes de parceiros com pelo menos uma extensão da família RMM+ e os desativou por precaução nos ambientes na nuvem; o número conta ambientes com as extensões instaladas, não comprometimentos confirmados. Parceiros com instalações locais precisam desativá-las por conta própria. Pede aos parceiros que atualizem todos os clientes de técnico para a versão 26.6.5 ou posterior, revisem a permissão Transfer Files, mantenham as extensões desativadas, revoguem sessões e redefinam credenciais com MFA a partir de um dispositivo confiável, e investiguem com ferramentas de segurança separadas preservando os registros. Diz que não tem visibilidade da atividade dentro dos ambientes dos parceiros após o acesso inicial. Sua atualização de 13 de novembro acrescenta mais três extensões desativadas em ambientes na nuvem e de marketplace e diz que parceiros com instalações locais devem desativar as extensões imediatamente. Uma empresa de segurança que investigou a atividade relata, em seu blog oficial, instalações de clientes não autorizados em pelo menos 288 endpoints de 48 organizações em 11 de novembro e, em uma segunda onda em 13 de novembro, em 205 endpoints de 41 organizações (números dentro da base de clientes dessa empresa, não um total de vítimas). Opinião deste site: organizações que usam o ScreenConnect e clientes de provedores de serviços gerenciados devem confirmar agora o estado das extensões e as versões dos clientes.