适用对象：使用 ScreenConnect 的机构（特别是托管服务提供商和管理客户设备的 IT 团队），以及这些提供商的客户。本文是基于 ConnectWise 官方公告的说明，不涉及攻击步骤或入侵指标。
事态发展中：本文将随机构发布更多信息而更新
- 适用对象
使用 ScreenConnect 的机构（特别是托管服务提供商和管理客户设备的 IT 团队），以及这些提供商的客户。
- 已确认的影响范围查看表格 ↓
- 安装了 RMM+ 系列扩展的合作伙伴环境
- 预防性停用
- 调查的安全公司客户环境中的未经授权客户端安装
被列为可能涉及的项目
- 滥用第三方扩展作为入口
- 尚未确认的事项
- 攻击者最初是如何进入的（公司称尚未确定）
- 完整范围：哪些合作伙伴和客户环境受到影响（初始访问之后公司没有可见性）
- 对第三方扩展的最终评估（公司仍在验证）
另外1项
- 关于已停用扩展的进一步指引（公司称在有进一步指引之前不要重新启用）
- 现在要做的事查看步骤 ↓
- 确认所列扩展已被停用，并保持停用
- 将所有技术人员客户端更新到 26.6.5 或更高版本
- 更新尚未完成时，缩减 Transfer Files 权限
另外4项
- 在受信任的设备上撤销会话并重置凭据，同时启用 MFA
- 使用独立工具进行调查并保留日志
- 留意异常登录和未经批准的远程访问软件
- 托管服务提供商的客户：询问您的提供商
- 核实来源（出处）全部来源 ↓
- ConnectWise，《ScreenConnect 安全公告：预防性停用扩展与合作伙伴指引》（官方 Trust Center 公告；2026 年 11 月 11 日 22:45 UTC 首次发布，11 月 13 日 21:15 UTC 最后更新；11 月 14 日查阅）— connectwise.com
- 最后核实
- 截至 2026 年 11 月 14 日
续报计划与核实记录
公司称，将继续验证发现、核对范围信息，并在信息得到确认后更新其 Trust Center。本站于 2026 年 11 月 14 日查看时，最新一条是 11 月 13 日 21:15 UTC 的更新。该安全公司的博客也在 11 月 13 日 22:30 UTC 的更新中增加了第二波。
ScreenConnect 用户今天应该做什么
确认所列扩展已被停用，并保持停用
公告列出了五个作为预防措施而停用的、由第三方独立开发的扩展：Labtech Plus、RMM Plus、RMM+、RMM Plus Password Link 和 RMM+ Password Link。公司已在约 400 个云环境中将其停用。由于无法代合作伙伴在本地部署环境中停用，本地部署的合作伙伴必须立即停用（11 月 13 日更新）。在该更新中，公司还称其在云环境和应用市场环境中又停用了三个扩展（ITBoost Integration、RepairShopr Integration、Guest Session Starter），强烈建议所有合作伙伴无论是否本地部署都同样这么做，并请合作伙伴作为预防性遏制措施立即停用。所有安装了这些扩展的人都应核实其状态，并在有进一步指引之前避免重新启用或重新安装。请参见公司页面上的扩展移除说明。
将所有技术人员客户端更新到 26.6.5 或更高版本
这适用于云托管和本地部署的用户。请检查每台技术人员工作站上安装的版本，因为更新云控制台并不会更新技术人员客户端。公司称，26.6.5 及更高版本可阻断从终端向技术人员工作站扩散的尝试。公司补充说，这并不能清除已有的入侵。
更新尚未完成时，缩减 Transfer Files 权限
检查角色及其会话组权限，在不需要的地方停用 Transfer Files（旧版本中可能称为 TransferFilesInSession）。公司称这是临时的风险缓解措施，不能代替更新。
在受信任的设备上撤销会话并重置凭据，同时启用 MFA
公司请您撤销所有活动的 ScreenConnect 网页会话及关联的身份提供商会话，重置相关凭据并强制启用 MFA。仅重置密码并不会使所有现有会话失效。请参见多重身份验证指南。
使用独立工具进行调查并保留日志
不要使用 ScreenConnect 本身来调查或清理受影响的设备；请使用 EDR 的响应功能或其他受信任的带外方式，并将连接过受影响设备的技术人员工作站纳入调查。先保留认证、扩展安装、管理、Run Command 和 Toolbox 的记录，然后清除服务器上排队的命令和工具，移除未经授权的软件和持久化机制，并在重新连接设备之前进行验证。
留意异常登录和未经批准的远程访问软件
公司列出的迹象包括：异常登录、意外的 MFA 提示、新的管理员、权限变更、未经批准的远程访问软件，以及意外的命令或扩展安装。公司还请您通过受信任的渠道核实意外的支持请求和密码重置消息。请参见什么是网络钓鱼。
托管服务提供商的客户：询问您的提供商
对于初始访问之后合作伙伴环境内的活动，公司没有可见性，因此无法说明客户的设备是否受到影响。请询问您的提供商是否使用过 ScreenConnect 和这些扩展，以及它检查了什么（本站观点）。
发生了什么（依据 ConnectWise 的公告）
本节依据 ConnectWise 在其 Trust Center 上发布的公告《ScreenConnect 安全公告：预防性停用扩展与合作伙伴指引》。这是公司自己的说法，未经第三方验证。时间按公司所述（UTC）。
9 月 8 日
公司发布 ScreenConnect 客户端 26.6.5 版本，修复了此前的客户端问题 CVE-2026-84869。公司后来称，该版本可阻断本次事件中所描述的扩散手法（较早的修复）。11 月 11 日 22:45 UTC（11 月 12 日 7:45 JST）
公司发布第一份公告。称已知有关于合作伙伴账户遭未经授权访问、以及客户环境中被部署未经授权远程访问软件的报告，列出了可能涉及的五个第三方扩展，并称已作为预防措施在约 400 个合作伙伴环境中将其停用。11 月 12 日 02:45 UTC（11:45 JST）
第一次更新。重申尚未发现其基础设施遭入侵或 ScreenConnect 漏洞，并说明这些扩展提供一个能够执行远程命令的 API，由合作伙伴设置的口令保护。11 月 11 日 17:47 UTC（11 月 12 日 2:47 JST）
调查该活动的一家安全公司在其客户环境中观察到可疑活动；约 90 分钟内波及 48 个机构的至少 288 个端点（该公司的博客）。这早于公司的第一份公告。11 月 12 日 18:45 UTC（11 月 13 日 3:45 JST）
第二次更新。增加了将技术人员客户端更新到 26.6.5 或更高版本、检查 Transfer Files 权限的指引，并报告了第三方研究人员的发现。11 月 13 日 16:12 UTC（11 月 14 日 1:12 JST）
调查的安全公司记录到第二波：41 个机构的 205 个端点（该公司的博客，22:30 UTC 更新）。11 月 13 日 21:15 UTC（11 月 14 日 6:15 JST）
第三次更新。在云环境和应用市场环境中又停用了三个扩展；本地部署的合作伙伴必须立即停用；研究人员报告了针对本地部署环境的其他活动。
- 公司正在调查的内容
- 部分合作伙伴 ScreenConnect 环境遭未经授权访问，以及客户环境中被部署未经授权的远程访问软件
- 初步评估
- 该活动可能涉及威胁行为者滥用合作伙伴环境中安装的独立第三方扩展。仍在验证中。初始访问手法和完整范围尚未确定
- 这些扩展
- 提供一个能够执行远程命令的 API，由合作伙伴在设置时配置的口令保护。仅凭这些扩展的存在并不能证明系统已被入侵
- 第三方研究人员的报告（公司未验证）
- 攻击者利用对合作伙伴控制台的访问权限，部署未经授权的 ScreenConnect 客户端，以及一套旨在扩散到连接的技术人员工作站的工具包。研究人员称，他们没有观察到这种扩散成功。他们还报告了某个扩展中的认证缺陷。公司称正在评估这些发现。已为第三方扩展中的问题分配了 CVE
- 公司的行动
- 在约 400 个云环境中停用了这些扩展，建议本地部署的合作伙伴停用，直接联系了受影响的合作伙伴并向 ScreenConnect 合作伙伴发送了邮件，并采取了额外的保护措施，包括协调行动以瓦解所报告的恶意基础设施
- 可见性
- 对于初始访问之后合作伙伴环境内的活动，公司没有可见性或遥测数据，无法独立判断受影响的合作伙伴或客户环境中可能发生了什么
- 查看位置
- 公告还公布了供调查使用的、所报告的入侵指标，本文不转载。公告称，没有匹配项并不能排除已被入侵
已知与未知的内容
截至 2026 年 11 月 13 日的状态。有更多信息公布时，我们会更新状态一栏。
| 项目 | 内容 | 状态 |
|---|---|---|
| 合作伙伴 ScreenConnect 环境遭未经授权访问，以及被部署未经授权的远程访问软件 | 公司已知有相关报告，正在调查 | 调查中 |
| 安装了 RMM+ 系列扩展的合作伙伴环境 | 约 400 个（不是已确认被入侵的数量） | 已确认（公司） |
| 预防性停用 | 云环境中已完成；本地部署的合作伙伴必须自行完成 | 已确认（公司） |
| 滥用第三方扩展作为入口 | 初步评估，仍在验证中 | 可能（公司的评估） |
| ConnectWise 基础设施遭入侵 | 未发现证据 | 未确认（公司） |
| 初始访问涉及 ScreenConnect 漏洞 | 未发现证据 | 未确认（公司） |
| 向技术人员工作站扩散 | 研究人员称没有观察到成功；公司称 26.6.5 及更高版本可阻断该手法 | 调查中 |
| 初始访问之后合作伙伴和客户环境内的活动 | 公司没有可见性 | 未说明 |
| 初始访问手法和完整范围 | 尚未确定 | 调查中 |
| 调查的安全公司客户环境中的未经授权客户端安装 | 11 月 11 日：48 个机构的至少 288 个端点（约 90 分钟）。11 月 13 日：41 个机构的 205 个端点。该公司的官方博客 | 已确认（该安全公司；其客户范围内） |
| 受影响的合作伙伴和客户总数 | 公司公告中未说明 | 未说明 |
如何解读：这个数字是安装了扩展的环境数，不是受害者数
“约 400 个”是至少安装了其中一个扩展的合作伙伴环境数量。公司称，这反映的是安装情况，而不是已确认的入侵。公告未给出实际有多少机构受到影响的总数。该安全公司的 48 个机构的至少 288 个端点，是其自身客户范围内的计数；既不是受害者总数，也与“约 400 个”不是同一群体。公司也称，对这些扩展的评估是初步的，仍在验证中。
远程管理工具被滥用时可能发生什么
以下是一般可能发生的情况，并不表示某一特定环境中已经发生了其中任何一项。公司称已经发生的内容，仅限于上文“发生了什么”。
IT 提供商使用的远程访问工具，可以在其管理的每台设备上运行命令并传输文件。如果有人控制了该工具的控制台或某台技术人员工作站，这种触达范围就会延伸到提供商的客户。这正是公司请求通过独立工具进行调查的原因，也是提供商的客户有理由询问检查了什么的原因。
运行远程管理工具的机构应检查什么
本节不评价公司的应对，也不猜测入侵的技术细节。根据已公布的说明，仅限于在您自己的环境中需要检查的要点，均为本站观点。
列出远程访问工具上安装的扩展和附加组件
本案中的扩展是由第三方独立开发并由合作伙伴添加的。要清楚安装了哪些附加组件、谁批准的、它们能做什么，并移除不需要的（本站观点）。
确认能够运行命令的 API 背后不止有一个口令
公司描述了一个能够执行远程命令、由设置时配置的口令保护的 API。能够在受管设备上运行命令的功能，应使用比共享密钥更强的认证和网络限制（本站观点）。
跟踪技术人员客户端的版本，而不只是控制台
公司指出，更新云控制台并不会更新技术人员客户端。请对每台技术人员工作站上的客户端版本做清单管理（本站观点）。
只向需要的角色授予文件传输和远程命令权限
公司的临时措施是在不需要的地方停用 Transfer Files。请定期检查角色，使单个被入侵的账户无法向每台设备转移文件（本站观点）。
保留一种不依赖于被怀疑工具的调查方式
公司请求不要使用 ScreenConnect 进行调查。请在需要之前就准备好 EDR 或其他带外方式，用于隔离和检查设备（本站观点）。
参考来源（公开记录）
本文事实来自下列公开信息。不涉及攻击步骤细节和入侵指标。
- ConnectWise，《ScreenConnect 安全公告：预防性停用扩展与合作伙伴指引》（官方 Trust Center 公告；2026 年 11 月 11 日 22:45 UTC 首次发布，11 月 13 日 21:15 UTC 最后更新；11 月 14 日查阅）— connectwise.com
- 调查该活动的安全公司，官方博客（2026 年 11 月 11 日发布，11 月 13 日 22:30 UTC 更新；11 月 14 日查阅；该公司自身客户环境中的观察）— huntress.com
更新记录
2026-11-14：新增调查的安全公司确认的数量（11 月 11 日 48 个机构的至少 288 个端点；11 月 13 日 41 个机构的 205 个端点），并反映了 ConnectWise 11 月 13 日（21:15 UTC）的更新：又停用了三个扩展，且本地部署的合作伙伴必须立即停用。这些数量是该公司客户范围内的计数，并非受害者总数。
2026-11-13：首次发布。依据 ConnectWise 公告在 11 月 12 日（18:45 UTC）的更新。有更多信息公布时将予以更新。
延伸阅读
- 类似的远程管理工具事件：N-able N-central 漏洞据报在测试代码公开后被利用
- 同一公司在不同产品中的另一起事件：ConnectWise Cloud Backup 与 Microsoft 365
- 保护账户：多重身份验证指南 / 什么是网络钓鱼
- 2026 年其他事件：2026 年的数据泄露与网络攻击