Для кого: для организаций, которые используют ScreenConnect (особенно поставщиков управляемых услуг и ИТ-команд, управляющих устройствами клиентов), и для клиентов этих поставщиков. Статья — разбор на основе официального бюллетеня ConnectWise; в ней нет шагов атаки и индикаторов компрометации.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
- Кого это касается
для организаций, которые используют ScreenConnect (особенно поставщиков управляемых услуг и ИТ-команд, управляющих устройствами клиентов), и для клиентов этих поставщиков. Статья — разбор на основе официального бюллетеня ConnectWise; в ней нет шагов атаки и индикаторов компрометации.
- ПодтвержденоСмотреть таблицу ↓
- Среды партнёров с установленным расширением семейства RMM+
- Отключение на всякий случай
- Посторонние клиенты в клиентских средах расследовавшей инцидент компании по информационной безопасности
Названо как возможно затронутое
- Злоупотребление сторонними расширениями как путь проникновения
- Пока не подтверждено
- Как злоумышленники впервые получили доступ (компания сообщает, что это не установлено)
- Полный масштаб: какие среды партнёров и клиентов затронуты (после первоначального доступа компания их не видит)
- Окончательная оценка сторонних расширений (компания ещё проверяет)
Ещё 1
- Дальнейшие указания по отключённым расширениям (компания просит не включать их до новых указаний)
- Что сделать сейчасСмотреть шаги ↓
- Проверьте, что перечисленные расширения отключены, и держите их отключёнными
- Обновите все клиенты техников до 26.6.5 или новее
- Пока обновления не завершены, сократите разрешение Transfer Files
Ещё 4
- Отзовите сеансы и сбросьте учётные данные с доверенного устройства, с MFA
- Расследуйте отдельными средствами и сохраните журналы
- Следите за необычными входами и неодобренным ПО удалённого доступа
- Клиентам поставщика управляемых услуг: спросите поставщика
- Где проверить (источник)Все источники ↓
- ConnectWise, «ScreenConnect security advisory: Precautionary extension disabling and partner guidance» (официальный бюллетень Trust Center; впервые опубликован 11 ноября 2026 года в 22:45 UTC, последнее обновление 13 ноября в 21:15 UTC; проверено 14 ноября)
- Последняя проверка
- По состоянию на 14 ноября 2026 года
Планы обновлений и что мы проверили
Компания сообщает, что продолжит проверять выводы, сверять сведения о масштабе и обновлять свой Trust Center по мере подтверждения информации. Когда мы проверили 14 ноября 2026 года, последней записью было обновление от 13 ноября в 21:15 UTC. В блоге компании по информационной безопасности в обновлении от 13 ноября в 22:30 UTC также добавлена вторая волна.
Что пользователям ScreenConnect делать сегодня
Проверьте, что перечисленные расширения отключены, и держите их отключёнными
В бюллетене перечислены пять независимо разработанных сторонних расширений, которые рекомендовано отключить на всякий случай: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link и RMM+ Password Link. Компания отключила их примерно в 400 облачных средах. Поскольку в локальных средах она не может отключить их за партнёров, партнёры с локальной установкой должны немедленно отключить их (обновление от 13 ноября). В том же обновлении она сообщает, что отключила ещё три расширения в облачных средах и средах маркетплейса (ITBoost Integration, RepairShopr Integration, Guest Session Starter), настоятельно просит всех партнёров сделать то же внутри и вне собственных мощностей и просит немедленно отключить их как меру предварительного сдерживания. Все, у кого они есть, должны проверить состояние и не включать и не устанавливать их заново до новых указаний. См. инструкции по удалению расширений на странице компании.
Обновите все клиенты техников до 26.6.5 или новее
Это относится и к пользователям облачного размещения, и к пользователям с локальной установкой. Проверьте установленную версию на каждой рабочей станции техника, поскольку обновление облачной консоли клиенты техников не обновляет. Компания сообщает, что версии 26.6.5 и новее блокируют попытку распространения с конечного устройства на рабочую станцию техника. Она добавляет, что это не устраняет уже имеющуюся компрометацию.
Пока обновления не завершены, сократите разрешение Transfer Files
Проверьте роли и разрешения групп сеансов и отключите Transfer Files везде, где оно не нужно (в старых версиях оно может называться TransferFilesInSession). Компания называет это временным снижением риска, а не заменой обновлению.
Отзовите сеансы и сбросьте учётные данные с доверенного устройства, с MFA
Компания просит отозвать все активные веб-сеансы ScreenConnect и связанные сеансы поставщика удостоверений, сбросить соответствующие учётные данные и включить обязательный MFA. Один лишь сброс пароля не аннулирует все существующие сеансы. См. руководство по многофакторной аутентификации.
Расследуйте отдельными средствами и сохраните журналы
Не используйте сам ScreenConnect для расследования или очистки затронутых устройств; пользуйтесь возможностями реагирования EDR или другим доверенным внеполосным способом и включите рабочие станции техников, подключавшиеся к затронутым устройствам. Сначала сохраните записи об аутентификации, установке расширений, администрировании, Run Command и Toolbox, затем очистите очередь команд и инструментов на сервере, удалите несанкционированное ПО и средства закрепления и проверьте всё, прежде чем снова подключать устройства.
Следите за необычными входами и неодобренным ПО удалённого доступа
Компания называет необычные входы, неожиданные запросы MFA, новых администраторов, изменения разрешений, неодобренное ПО удалённого доступа, а также неожиданные команды или установку расширений. Она просит также проверять неожиданные запросы поддержки и сообщения о сбросе пароля по доверенному каналу. См. Что такое фишинг.
Клиентам поставщика управляемых услуг: спросите поставщика
Компания не видит активность внутри сред партнёров после первоначального доступа, поэтому не может сказать, затронуты ли устройства клиента. Спросите у поставщика, использовал ли он ScreenConnect и эти расширения и что он проверил (наша оценка).
Что произошло (по бюллетеню ConnectWise)
Раздел основан на бюллетене ConnectWise «ScreenConnect security advisory: Precautionary extension disabling and partner guidance» в её Trust Center. Это собственный рассказ компании, и третьей стороной он не проверен. Время указано так, как его называет компания (UTC).
8 сентября
Компания выпускает версию клиента ScreenConnect 26.6.5, которая исправляет CVE-2026-84869, более раннюю проблему клиента. Позже она сообщает, что эта версия блокирует технику распространения, описанную в этом инциденте (более раннее исправление).11 ноября, 22:45 UTC (12 ноября, 7:45 JST)
Компания публикует первый бюллетень. Она сообщает, что знает о сообщениях о несанкционированном доступе к учётным записям партнёров и размещении несанкционированного ПО удалённого доступа в средах клиентов, перечисляет пять сторонних расширений, которые могут быть причастны, и сообщает, что на всякий случай отключила их примерно в 400 средах партнёров.12 ноября, 02:45 UTC (11:45 JST)
Первое обновление. Оно повторяет, что компрометации инфраструктуры компании или уязвимости ScreenConnect не найдено, и сообщает, что расширения предоставляют API, способный выполнять удалённые команды и защищённый парольной фразой, которую задаёт партнёр.11 ноября, 17:47 UTC (12 ноября, 2:47 JST)
Компания по информационной безопасности, расследовавшая эту активность, наблюдает подозрительную активность в своих клиентских средах; примерно за 90 минут она охватывает как минимум 288 конечных устройств в 48 организациях (блог компании). Это раньше первого бюллетеня ConnectWise.12 ноября, 18:45 UTC (13 ноября, 3:45 JST)
Второе обновление. Оно добавляет указание обновить клиенты техников до 26.6.5 или новее и проверить разрешение Transfer Files, а также сообщает о выводах сторонних исследователей.13 ноября, 16:12 UTC (14 ноября, 1:12 JST)
Расследовавшая инцидент компания по информационной безопасности фиксирует вторую волну: 205 конечных устройств в 41 организации (блог компании, обновление в 22:30 UTC).13 ноября, 21:15 UTC (14 ноября, 6:15 JST)
Третье обновление. Отключены ещё три расширения в облачных средах и средах маркетплейса; партнёры с локальной установкой должны отключить их немедленно; исследователи сообщают о дополнительной активности против локальных сред.
- Что расследует компания
- Несанкционированный доступ к некоторым средам ScreenConnect партнёров и размещение несанкционированного ПО удалённого доступа в средах клиентов
- Первоначальная оценка
- К этой активности может быть причастно использование злоумышленником независимых сторонних расширений, установленных в средах партнёров. Проверка ещё идёт. Метод первоначального доступа и полный масштаб не установлены
- Расширения
- API, способный выполнять удалённые команды и защищённый парольной фразой, которую партнёр задаёт при настройке. Само наличие расширений не доказывает компрометацию
- Сообщения сторонних исследователей (компанией не проверены)
- Злоумышленники, получив доступ к консолям партнёров, разместили несанкционированные клиенты ScreenConnect и набор инструментов, предназначенный для распространения на подключающиеся рабочие станции техников. Исследователи сообщают, что не наблюдали успешного распространения. Они также сообщают о недостатке аутентификации в расширении. Компания сообщает, что оценивает эти выводы. Проблеме в стороннем расширении присвоен CVE
- Действия компании
- Отключила расширения примерно в 400 облачных средах, рекомендовала партнёрам с локальной установкой отключить их, напрямую связалась с затронутыми партнёрами и разослала письма партнёрам ScreenConnect, а также приняла дополнительные меры защиты, включая координацию усилий по нарушению работы сообщённой вредоносной инфраструктуры
- Видимость
- У компании нет видимости или телеметрии активности внутри сред партнёров после первоначального доступа, и она не может самостоятельно определить, что могло произойти в затронутых средах партнёров или клиентов
- Где искать
- В бюллетене также опубликованы сообщённые индикаторы компрометации для расследования; эта статья их не воспроизводит. Там сказано, что отсутствие совпадений не исключает компрометацию
Что известно и что нет
Состояние на 13 ноября 2026 года. При появлении новых публикаций мы обновим столбец статуса.
| Позиция | Содержание | Статус |
|---|---|---|
| Несанкционированный доступ к средам ScreenConnect партнёров и размещение несанкционированного ПО удалённого доступа | Компания знает о сообщениях и расследует их | Расследуется |
| Среды партнёров с установленным расширением семейства RMM+ | Около 400 (это не число подтверждённых компрометаций) | Подтверждено (компания) |
| Отключение на всякий случай | Выполнено в облачных средах; партнёры с локальной установкой должны сделать это сами | Подтверждено (компания) |
| Злоупотребление сторонними расширениями как путь проникновения | Первоначальная оценка, проверка ещё идёт | Возможно (оценка компании) |
| Компрометация инфраструктуры ConnectWise | Свидетельств не найдено | Не подтверждено (компания) |
| Уязвимость ScreenConnect при первоначальном доступе | Свидетельств не найдено | Не подтверждено (компания) |
| Распространение на рабочие станции техников | Исследователи сообщают, что не наблюдали успешного распространения; компания сообщает, что 26.6.5 и новее блокируют эту технику | Расследуется |
| Активность внутри сред партнёров и клиентов после первоначального доступа | У компании нет видимости | Не указано |
| Метод первоначального доступа и полный масштаб | Не установлены | Расследуется |
| Посторонние клиенты в клиентских средах расследовавшей инцидент компании по информационной безопасности | 11 ноября: как минимум 288 конечных устройств в 48 организациях (около 90 минут). 13 ноября: 205 устройств в 41 организации. Официальный блог компании | Подтверждено (компания по информационной безопасности; в пределах её клиентской базы) |
| Общее число затронутых партнёров и клиентов | Не указано в бюллетене компании | Не указано |
Как это читать: цифра обозначает среды с расширениями, а не пострадавших
«Около 400» — это число сред партнёров, где было установлено хотя бы одно из этих расширений. Компания сообщает, что это отражает установку, а не подтверждённые компрометации. Бюллетень не называет общего числа реально затронутых организаций. Как минимум 288 конечных устройств в 48 организациях у компании по информационной безопасности — это число в пределах её собственной клиентской базы; это не общее число жертв и не та же совокупность, что «около 400». Оценку о расширениях компания также называет первоначальной и ещё проверяемой.
Что может произойти при злоупотреблении средствами удалённого управления
Ниже описано, что в целом может происходить, и это не утверждение, что что-либо из этого произошло в конкретной среде. То, что, по словам компании, произошло, ограничено разделом «Что произошло» выше.
Инструмент удалённого доступа, который использует ИТ-поставщик, может выполнять команды и передавать файлы на каждом управляемом устройстве. Если кто-то получает контроль над консолью инструмента или рабочей станцией техника, этот охват распространяется на клиентов поставщика. Поэтому компания просит расследовать отдельными средствами, и поэтому у клиентов поставщика есть основание спросить, что проверено.
Что стоит пересмотреть организациям, которые используют инструменты удалённого управления
Этот раздел не оценивает действия компании и не гадает о технических подробностях вторжения. Исходя из опубликованного рассказа, он ограничен тем, что стоит проверить в собственной среде, и всё это — наша оценка.
Ведите список расширений и дополнений, установленных в вашем инструменте удалённого доступа
Расширения в этом случае были разработаны независимо и добавлены партнёрами. Знайте, какие дополнения установлены, кто их одобрил и что они умеют, и удаляйте ненужные (наша оценка).
Проверьте, что API, выполняющий команды, защищён не только одной парольной фразой
Компания описывает API, способный выполнять удалённые команды и защищённый парольной фразой, заданной при настройке. Функция, которая может выполнять команды на управляемых устройствах, заслуживает более сильной аутентификации и сетевых ограничений, чем общий секрет (наша оценка).
Отслеживайте версию клиента техника, а не только консоли
Компания отмечает, что обновление облачной консоли клиенты техников не обновляет. Ведите учёт версии клиента на каждой рабочей станции техника (наша оценка).
Выдавайте права на передачу файлов и удалённые команды только тем ролям, которым они нужны
Временная мера компании — отключить Transfer Files везде, где оно не требуется. Регулярно пересматривайте роли, чтобы одна скомпрометированная учётная запись не могла передать файлы на все устройства (наша оценка).
Держите способ расследования, не зависящий от инструмента под подозрением
Компания просит не использовать ScreenConnect для расследования. Подготовьте EDR или другой внеполосный способ изолировать и проверять устройства до того, как он понадобится (наша оценка).
Источники (публичные данные)
Факты в статье взяты из публичной информации ниже. Подробности шагов атаки и индикаторы компрометации не рассматриваются.
- ConnectWise, «ScreenConnect security advisory: Precautionary extension disabling and partner guidance» (официальный бюллетень Trust Center; впервые опубликован 11 ноября 2026 года в 22:45 UTC, последнее обновление 13 ноября в 21:15 UTC; проверено 14 ноября) — connectwise.com
- Компания по информационной безопасности, расследовавшая эту активность, официальный блог (опубликован 11 ноября 2026 года, обновлён 13 ноября в 22:30 UTC; проверено 14 ноября; наблюдения в собственных клиентских средах компании) — huntress.com
История обновлений
2026-11-14: добавлены подтверждённые расследовавшей инцидент компанией по информационной безопасности числа (как минимум 288 конечных устройств в 48 организациях 11 ноября; 205 устройств в 41 организации 13 ноября) и учтено обновление ConnectWise от 13 ноября (21:15 UTC): отключены ещё три расширения, а партнёры с локальной установкой должны отключить их немедленно. Числа даны в пределах клиентской базы этой компании, а не как общее число жертв.
2026-11-13: первая версия. Основана на бюллетене ConnectWise с обновлением от 12 ноября (18:45 UTC). Мы обновим статью, когда появятся новые сведения.
Читайте далее
- Похожий инцидент с инструментом удалённого управления: Уязвимость N-able N-central, по сообщениям, эксплуатировалась после публикации тестового кода
- Другой инцидент у той же компании, в другом продукте: ConnectWise Cloud Backup и Microsoft 365
- Защита учётных записей: Руководство по многофакторной аутентификации / Что такое фишинг
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года