2026-11-13
第三方 ScreenConnect 扩展可能被滥用（2026 年 11 月）：ConnectWise 在约 400 个云环境中停用这些扩展；一家安全公司确认其自身客户中 48 个机构的至少 288 个端点被安装了未经授权的客户端。用户应如何应对
ConnectWise 于 2026 年 11 月 11 日（22:45 UTC）发布了关于部分合作伙伴 ScreenConnect 环境遭未经授权访问的安全公告，并于 11 月 12 日（02:45 UTC 和 18:45 UTC）以及 11 月 13 日（21:15 UTC）更新。据该公司称，尚未发现其自身基础设施遭入侵、或初始访问涉及 ScreenConnect 本身漏洞的证据。其初步评估是，威胁行为者可能滥用了合作伙伴环境中安装的、由第三方独立开发的扩展（仍在验证中）。公司识别出约 400 个安装了 RMM+ 系列至少一个扩展的合作伙伴环境，并作为预防措施在云环境中将其停用；该数字统计的是安装了这些扩展的环境，并非已确认被入侵的数量。本地部署的合作伙伴必须自行停用。公司请合作伙伴将所有技术人员客户端更新到 26.6.5 或更高版本、检查 Transfer Files 权限、保持扩展处于停用状态、撤销会话并在受信任的设备上通过 MFA 重置凭据，并在保留日志的同时使用独立的安全工具进行调查。公司称，对于初始访问之后合作伙伴环境内的活动，其没有可见性。其 11 月 13 日的更新补充称，又在云环境和应用市场环境中停用了三个扩展，并称本地部署的合作伙伴必须立即停用这些扩展。调查该活动的一家安全公司在其官方博客中报告称，11 月 11 日至少在 48 个机构的 288 个端点上出现了未经授权的客户端安装，11 月 13 日第二波中涉及 41 个机构的 205 个端点（均为该公司自身客户范围内的计数，并非受害者总数）。本站观点：使用 ScreenConnect 的机构以及托管服务提供商的客户，现在就应确认扩展状态和客户端版本。