Kritiek ConnectWise ScreenConnect-lek gebruikt bij aanvallen meldt VS

In dit artikel:

Een kritieke kwetsbaarheid in ConnectWise ScreenConnect wordt actief misbruikt door aanvallers, meldt het Amerikaanse cyberagentschap CISA. ScreenConnect wordt door managed serviceproviders gebruikt om systemen van klanten op afstand te beheren en monitoren.

Het lek, CVE-2026-84869, zit in de functie voor bestandsoverdracht binnen Remote Access Support- en Access-sessies. Aanvallers kunnen via een actieve externe sessie zonder toestemming of bevestiging van de host bestanden naar clients kopiëren en uitvoeren. Zowel cloud- als lokaal geïnstalleerde versies zijn kwetsbaar. Eerdere ScreenConnect-lekken zijn gebruikt voor grootschalige aanvallen en ransomware.

ConnectWise waarschuwde op 3 september en gaf aanvankelijk tijdelijke maatregelen. Op 8 september verscheen een patch, die volgens de leverancier de hoogste prioriteit kreeg omdat er al misbruik plaatsvond of dreigde. Drie dagen later zette CISA het lek op de lijst van actief misbruikte kwetsbaarheden en gaf Amerikaanse overheidsinstanties drie dagen om de update te installeren. Details over de aanvallen zijn niet bekendgemaakt. Volgens The Shadowserver Foundation stonden daarna nog ongeveer duizend kwetsbare ScreenConnect-installaties online, waaronder negentien in Nederland.