適用對象：使用 ScreenConnect 的機構（特別是託管服務提供商和管理客戶裝置的 IT 團隊），以及這些提供商的客戶。本文是基於 ConnectWise 官方公告的說明，不涉及攻擊步驟或入侵指標。
事態發展中：本文將隨機構發布更多資訊而更新
- 適用對象
使用 ScreenConnect 的機構（特別是託管服務提供商和管理客戶裝置的 IT 團隊），以及這些提供商的客戶。
- 已確認的影響範圍查看表格 ↓
- 安裝了 RMM+ 系列擴充套件的合作夥伴環境
- 預防性停用
- 調查的安全公司客戶環境中的未經授權客戶端安裝
列為可能涉及的項目
- 濫用第三方擴充套件作為入口
- 尚未確認的事項
- 攻擊者最初是如何進入的（公司稱尚未確定）
- 完整範圍：哪些合作伙伴和客戶環境受到影響（初始存取之後公司沒有可見性）
- 對第三方擴充套件的最終評估（公司仍在驗證）
另外1項
- 關於已停用擴充套件的進一步指引（公司稱在有進一步指引之前不要重新啟用）
- 現在要做的事查看步驟 ↓
- 確認所列擴充套件已被停用，並保持停用
- 將所有技術人員客戶端更新到 26.6.5 或更高版本
- 更新尚未完成時，縮減 Transfer Files 權限
另外4項
- 在受信任的裝置上撤銷會話並重置憑證，同時啟用 MFA
- 使用獨立工具進行調查並保留日誌
- 留意異常登入和未經批准的遠端存取軟體
- 託管服務提供商的客戶：詢問您的提供商
- 查證來源（出處）全部來源 ↓
- ConnectWise，《ScreenConnect 安全公告：預防性停用擴充套件與合作伙伴指引》（官方 Trust Center 公告；2026年11月11日22:45 UTC 首次發布，11月13日21:15 UTC 最後更新；11月14日查閱）— connectwise.com
- 最後查證
- 截至 2026年11月14日
續報計畫與查證紀錄
公司稱，將繼續驗證發現、核對範圍資訊，並在資訊得到確認後更新其 Trust Center。本站於 2026年11月14日檢視時，最新一條是 11月13日21:15 UTC 的更新。該安全公司的部落格也在 11月13日22:30 UTC 的更新中增加了第二波。
ScreenConnect 使用者今天應該做什麼
確認所列擴充套件已被停用，並保持停用
公告列出了五個作為預防措施而停用的、由第三方獨立開發的擴充套件：Labtech Plus、RMM Plus、RMM+、RMM Plus Password Link 和 RMM+ Password Link。公司已在約 400 個雲環境中將其停用。由於無法代合作伙伴在本地部署環境中停用，本地部署的合作伙伴必須立即停用（11月13日更新）。在該更新中，公司還稱其在雲環境和應用市場環境中又停用了三個擴充套件（ITBoost Integration、RepairShopr Integration、Guest Session Starter），強烈建議所有合作伙伴無論是否本地部署都同樣這麼做，並請合作伙伴作為預防性遏制措施立即停用。所有安裝了這些擴充套件的人都應核實其狀態，並在有進一步指引之前避免重新啟用或重新安裝。請參見公司頁面上的擴充套件移除說明。
將所有技術人員客戶端更新到 26.6.5 或更高版本
這適用於雲託管和本地部署的使用者。請檢查每臺技術人員工作站上安裝的版本，因為更新雲控制台並不會更新技術人員客戶端。公司稱，26.6.5 及更高版本可阻斷從終端向技術人員工作站擴散的嘗試。公司補充說，這並不能清除已有的入侵。
更新尚未完成時，縮減 Transfer Files 權限
檢查角色及其會話組權限，在不需要的地方停用 Transfer Files（舊版本中可能稱為 TransferFilesInSession）。公司稱這是臨時的風險緩解措施，不能代替更新。
在受信任的裝置上撤銷會話並重置憑證，同時啟用 MFA
公司請您撤銷所有活動的 ScreenConnect 網頁會話及關聯的身份提供商會話，重置相關憑證並強制啟用 MFA。僅重置密碼並不會使所有現有會話失效。請參見多重身份驗證指南。
使用獨立工具進行調查並保留日誌
不要使用 ScreenConnect 本身來調查或清理受影響的裝置；請使用 EDR 的響應功能或其他受信任的帶外方式，並將連線過受影響裝置的技術人員工作站納入調查。先保留認證、擴充套件安裝、管理、Run Command 和 Toolbox 的記錄，然後清除伺服器上排隊的命令和工具，移除未經授權的軟體和持久化機制，並在重新連線裝置之前進行驗證。
留意異常登入和未經批准的遠端存取軟體
公司列出的跡象包括：異常登入、意外的 MFA 提示、新的管理員、權限變更、未經批准的遠端存取軟體，以及意外的命令或擴充套件安裝。公司還請您透過受信任的管道核實意外的支援請求和密碼重置訊息。請參見什麼是網路釣魚。
託管服務提供商的客戶：詢問您的提供商
對於初始存取之後合作夥伴環境內的活動，公司沒有可見性，因此無法說明客戶的裝置是否受到影響。請詢問您的提供商是否使用過 ScreenConnect 和這些擴充套件，以及它檢查了什麼（本站觀點）。
發生了什麼（依據 ConnectWise 的公告）
本節依據 ConnectWise 在其 Trust Center 上發布的公告《ScreenConnect 安全公告：預防性停用擴充套件與合作夥伴指引》。這是公司自己的說法，未經第三方驗證。時間按公司所述（UTC）。
9 月 8 日
公司發布 ScreenConnect 客戶端 26.6.5 版本，修復了此前的客戶端問題 CVE-2026-84869。公司後來稱，該版本可阻斷本次事件中所描述的擴散手法（較早的修復）。11 月 11 日 22:45 UTC（11 月 12 日 7:45 JST）
公司發布第一份公告。稱已知有關於合作夥伴帳戶遭未經授權存取、以及客戶環境中被部署未經授權遠端存取軟體的報告，列出了可能涉及的五個第三方擴充套件，並稱已作為預防措施在約 400 個合作夥伴環境中將其停用。11 月 12 日 02:45 UTC（11:45 JST）
第一次更新。重申尚未發現其基礎設施遭入侵或 ScreenConnect 漏洞，並說明這些擴充套件提供一個能夠執行遠端命令的 API，由合作夥伴設定的口令保護。11月11日17:47 UTC（11月12日2:47 JST）
調查該活動的一家安全公司在其客戶環境中觀察到可疑活動；約 90 分鐘內波及 48 個機構的至少 288 個端點（該公司的部落格）。這早於公司的第一份公告。11 月 12 日 18:45 UTC（11 月 13 日 3:45 JST）
第二次更新。增加了將技術人員客戶端更新到 26.6.5 或更高版本、檢查 Transfer Files 權限的指引，並報告了第三方研究人員的發現。11月13日16:12 UTC（11月14日1:12 JST）
調查的安全公司記錄到第二波：41 個機構的 205 個端點（該公司的部落格，22:30 UTC 更新）。11月13日21:15 UTC（11月14日6:15 JST）
第三次更新。在雲環境和應用市場環境中又停用了三個擴充套件；本地部署的合作伙伴必須立即停用；研究人員報告了針對本地部署環境的其他活動。
- 公司正在調查的內容
- 部分合作夥伴 ScreenConnect 環境遭未經授權存取，以及客戶環境中被部署未經授權的遠端存取軟體
- 初步評估
- 該活動可能涉及威脅行為者濫用合作夥伴環境中安裝的獨立第三方擴充套件。仍在驗證中。初始存取手法和完整範圍尚未確定
- 這些擴充套件
- 提供一個能夠執行遠端命令的 API，由合作夥伴在設定時配置的口令保護。僅憑這些擴充套件的存在並不能證明系統已被入侵
- 第三方研究人員的報告（公司未驗證）
- 攻擊者利用對合作夥伴控制台的存取權限，部署未經授權的 ScreenConnect 客戶端，以及一套旨在擴散到連線的技術人員工作站的工具包。研究人員稱，他們沒有觀察到這種擴散成功。他們還報告了某個擴充套件中的認證缺陷。公司稱正在評估這些發現。已為第三方擴充套件中的問題分配了 CVE
- 公司的行動
- 在約 400 個雲環境中停用了這些擴充套件，建議本地部署的合作夥伴停用，直接聯絡了受影響的合作夥伴並向 ScreenConnect 合作夥伴傳送了郵件，並採取了額外的保護措施，包括協調行動以瓦解所報告的惡意基礎設施
- 可見性
- 對於初始存取之後合作夥伴環境內的活動，公司沒有可見性或遙測資料，無法獨立判斷受影響的合作夥伴或客戶環境中可能發生了什麼
- 查看位置
- 公告還公布了供調查使用的、所報告的入侵指標，本文不轉載。公告稱，沒有匹配項並不能排除已被入侵
已知與未知的內容
截至 2026 年 11 月 13 日的狀態。有更多資訊公布時，我們會更新狀態一欄。
| 項目 | 內容 | 狀態 |
|---|---|---|
| 合作夥伴 ScreenConnect 環境遭未經授權存取，以及被部署未經授權的遠端存取軟體 | 公司已知有相關報告，正在調查 | 調查中 |
| 安裝了 RMM+ 系列擴充套件的合作夥伴環境 | 約 400 個（不是已確認被入侵的數量） | 已確認（公司） |
| 預防性停用 | 雲環境中已完成；本地部署的合作夥伴必須自行完成 | 已確認（公司） |
| 濫用第三方擴充套件作為入口 | 初步評估，仍在驗證中 | 可能（公司的評估） |
| ConnectWise 基礎設施遭入侵 | 未發現證據 | 未確認（公司） |
| 初始存取涉及 ScreenConnect 漏洞 | 未發現證據 | 未確認（公司） |
| 向技術人員工作站擴散 | 研究人員稱沒有觀察到成功；公司稱 26.6.5 及更高版本可阻斷該手法 | 調查中 |
| 初始存取之後合作夥伴和客戶環境內的活動 | 公司沒有可見性 | 未說明 |
| 初始存取手法和完整範圍 | 尚未確定 | 調查中 |
| 調查的安全公司客戶環境中的未經授權客戶端安裝 | 11月11日：48 個機構的至少 288 個端點（約 90 分鐘）。11月13日：41 個機構的 205 個端點。該公司的官方部落格 | 已確認（該安全公司；其客戶範圍內） |
| 受影響的合作伙伴和客戶總數 | 公司公告中未說明 | 未說明 |
如何解讀：這個數字是安裝了擴充套件的環境數，不是受害者數
「約 400 個」是至少安裝了其中一個擴充套件的合作伙伴環境數量。公司稱，這反映的是安裝情況，而不是已確認的入侵。公告未給出實際有多少機構受到影響的總數。該安全公司的 48 個機構的至少 288 個端點，是其自身客戶範圍內的計數；既不是受害者總數，也與「約 400 個」不是同一群體。公司也稱，對這些擴充套件的評估是初步的，仍在驗證中。
遠端管理工具被濫用時可能發生什麼
以下是一般可能發生的情況，並不表示某一特定環境中已經發生了其中任何一項。公司稱已經發生的內容，僅限於上文“發生了什麼”。
IT 提供商使用的遠端存取工具，可以在其管理的每臺裝置上執行命令並傳輸檔案。如果有人控制了該工具的控制台或某臺技術人員工作站，這種觸達範圍就會延伸到提供商的客戶。這正是公司請求透過獨立工具進行調查的原因，也是提供商的客戶有理由詢問檢查了什麼的原因。
執行遠端管理工具的機構應檢查什麼
本節不評價公司的應對，也不猜測入侵的技術細節。根據已公布的說明，僅限於在您自己的環境中需要檢查的要點，均為本站觀點。
列出遠端存取工具上安裝的擴充套件和附加元件
本案中的擴充套件是由第三方獨立開發並由合作夥伴新增的。要清楚安裝了哪些附加元件、誰批准的、它們能做什麼，並移除不需要的（本站觀點）。
確認能夠執行命令的 API 背後不止有一個口令
公司描述了一個能夠執行遠端命令、由設定時配置的口令保護的 API。能夠在受管裝置上執行命令的功能，應使用比共享金鑰更強的認證和網路限制（本站觀點）。
跟蹤技術人員客戶端的版本，而不只是控制台
公司指出，更新雲控制台並不會更新技術人員客戶端。請對每臺技術人員工作站上的客戶端版本做清單管理（本站觀點）。
只向需要的角色授予檔案傳輸和遠端命令權限
公司的臨時措施是在不需要的地方停用 Transfer Files。請定期檢查角色，使單個被入侵的帳戶無法向每臺裝置轉移檔案（本站觀點）。
保留一種不依賴於被懷疑工具的調查方式
公司請求不要使用 ScreenConnect 進行調查。請在需要之前就準備好 EDR 或其他帶外方式，用於隔離和檢查裝置（本站觀點）。
參考來源（公開記錄）
本文事實來自下列公開資訊。不涉及攻擊步驟細節和入侵指標。
- ConnectWise，《ScreenConnect 安全公告：預防性停用擴充套件與合作伙伴指引》（官方 Trust Center 公告；2026年11月11日22:45 UTC 首次發布，11月13日21:15 UTC 最後更新；11月14日查閱）— connectwise.com
- 調查該活動的安全公司，官方部落格（2026年11月11日發布，11月13日22:30 UTC 更新；11月14日查閱；該公司自身客戶環境中的觀察）— huntress.com
更新紀錄
2026-11-14：新增調查的安全公司確認的數量（11月11日48 個機構的至少 288 個端點；11月13日41 個機構的 205 個端點），並反映了 ConnectWise 11月13日（21:15 UTC）的更新：又停用了三個擴充套件，且本地部署的合作伙伴必須立即停用。這些數量是該公司客戶範圍內的計數，並非受害者總數。
2026-11-13：首次發布。依據 ConnectWise 公告在 11月12日（18:45 UTC）的更新。有更多資訊公布時將予以更新。
延伸閱讀
- 類似的遠端管理工具事件：N-able N-central 漏洞據報在測試程式碼公開後被利用
- 同一公司在不同產品中的另一起事件：ConnectWise Cloud Backup 與 Microsoft 365
- 保護帳戶：多重身份驗證指南 / 什麼是網路釣魚
- 2026 年其他事件：2026 年的資料外洩與網路攻擊