La société ConnectWise a averti d’une nouvelle vulnérabilité de sécurité dans la plateforme ScreenConnect Remote Access, confirmant que le problème affecte le comportement du transfert de fichiers au sein des sessions Support et Access. Le problème concerne les déploiements locaux de la plateforme ainsi que les services hébergés dans le cloud, tandis qu’aucun numéro CVE n’a encore été attribué à la vulnérabilité afin de faciliter son suivi dans les bases de données de vulnérabilités.
L’entreprise n’a pas encore publié le correctif définitif, mais elle a indiqué travailler sur une solution permanente et prévoir sa publication plus tard cette semaine. Dans l’intervalle, ConnectWise a publié une mesure temporaire visant à réduire les possibilités d’exploitation de la faille en supprimant les autorisations de transfert de fichiers des groupes de sessions.
Mesure temporaire recommandée
Les administrateurs informatiques doivent se connecter à la page d’administration de ScreenConnect, puis accéder à Administration > Security > Roles. Ils doivent ensuite modifier les rôles des utilisateurs et examiner les groupes de sessions affichés en gras et auxquels certaines autorisations sont attribuées.
Dans la fenêtre Scoped Permissions, l’entreprise recommande de désélectionner l’autorisation TransferFiles pour chaque groupe de sessions. Dans les environnements qui utilisent l’ancienne autorisation, il convient de désactiver TransferFilesInSession à la place. Après avoir enregistré les modifications, il faut répéter l’opération pour tous les rôles concernés.
Pourquoi cette actualité est-elle importante ?
ScreenConnect est utilisé par les fournisseurs de services managés, les équipes informatiques et le support technique pour accéder à distance aux systèmes afin de résoudre les problèmes, d’appliquer des mises à jour et d’effectuer des opérations de maintenance. Les autorisations de transfert de fichiers ne constituent donc pas une fonction marginale, et l’exploitation d’une faille qui leur est liée pourrait affecter les opérations de support ou permettre le transfert de fichiers non autorisés, selon la manière dont les rôles et les sessions sont configurés dans chaque environnement.
L’avertissement revêt une importance accrue en raison de l’ampleur potentielle de l’exposition et de l’historique de ciblage de la plateforme. Shadowserver recense près de 6 000 instances de ScreenConnect exposées sur Internet, sans disposer de données permettant de déterminer combien de systèmes sont des honeypots ou combien ont déjà été sécurisés. L’article indique également que des vulnérabilités de ScreenConnect ont déjà été exploitées par des groupes d’extorsion informatique et des acteurs soutenus par des États.
Un contexte de sécurité récurrent
En 2024, des gangs de rançongiciels et le groupe nord-coréen Kimsuky ont exploité une autre vulnérabilité de ScreenConnect, identifiée sous le numéro CVE-2024-1709, afin de diffuser des logiciels malveillants. L’année dernière, ConnectWise a révélé que ses systèmes avaient été compromis au moyen d’une vulnérabilité critique d’injection ViewState, CVE-2025-3935, qui a permis d’accéder à des instances cloud appartenant à un nombre limité de clients.
En mars de cette année, l’entreprise a corrigé une vulnérabilité dans la vérification de la signature cryptographique, CVE-2026-3564, qui aurait pu permettre le détournement d’instances non mises à jour. Depuis février 2024, l’Agence américaine de cybersécurité et de sécurité des infrastructures, CISA, a ajouté trois vulnérabilités de ScreenConnect à son catalogue des vulnérabilités exploitées en pratique, dont deux ont également été utilisées lors d’attaques par rançongiciel.
En pratique, la mesure temporaire ne constitue pas un substitut au correctif définitif, et l’absence de numéro CVE peut compliquer l’harmonisation des opérations de surveillance et la coordination entre les équipes de sécurité. Les organisations qui utilisent ScreenConnect devraient examiner les rôles concernés et restreindre immédiatement le transfert de fichiers, puis suivre la mise à jour de ConnectWise afin de vérifier que la faille est corrigée lors de sa publication.