Компания ConnectWise предупредила о новой уязвимости в платформе ScreenConnect Remote Access, подтвердив, что проблема влияет на работу функции передачи файлов в сеансах Support и Access. Проблема затрагивает локальное развертывание платформы и облачные сервисы, при этом уязвимость пока не получила номера CVE, который упростил бы её отслеживание в базах данных уязвимостей.
Компания ещё не выпустила окончательное исправление, но заявила, что работает над постоянным решением и ожидает его выхода позднее на этой неделе. До его появления ConnectWise опубликовала временную меру, призванную снизить вероятность эксплуатации проблемы путём удаления прав на передачу файлов из групп сеансов.
Предлагаемая временная мера
Администраторам ИТ необходимо войти на страницу управления ScreenConnect, а затем перейти в раздел Administration > Security > Roles. После этого следует отредактировать роли пользователей и проверить группы сеансов, выделенные жирным шрифтом и обладающие определёнными правами.
В окне Scoped Permissions компания рекомендует снять флажок с права TransferFiles для каждой группы сеансов. В средах, использующих устаревшее право, вместо него следует отключить TransferFilesInSession. После сохранения изменений необходимо повторить процедуру для всех соответствующих ролей.
Почему эта новость важна?
ScreenConnect используют поставщики управляемых услуг, ИТ-команды и службы технической поддержки для удалённого доступа к системам с целью устранения неисправностей, установки обновлений и выполнения технического обслуживания. Поэтому права на передачу файлов не являются второстепенной функцией, и эксплуатация связанной с ними проблемы может повлиять на процессы поддержки или привести к передаче несанкционированных файлов — в зависимости от настроек ролей и сеансов в каждой среде.
Важность предупреждения повышается из-за потенциального масштаба воздействия и истории атак на платформу. Shadowserver отслеживает около 6 000 экземпляров ScreenConnect, доступных из интернета, однако данные о количестве систем, являющихся honeypot, или систем, которые уже были защищены, отсутствуют. В материале также отмечается, что уязвимости ScreenConnect ранее эксплуатировались группами кибервымогателей и поддерживаемыми государствами субъектами.
Повторяющийся контекст безопасности
В 2024 году группировки, занимающиеся распространением программ-вымогателей, и северокорейская группа Kimsuky использовали другую уязвимость ScreenConnect с номером CVE-2024-1709 для распространения вредоносного ПО. В прошлом году ConnectWise сообщила о взломе своих систем через критическую уязвимость внедрения ViewState CVE-2025-3935, которая позволила получить доступ к облачным экземплярам, принадлежащим ограниченному числу клиентов.
В марте этого года компания устранила уязвимость в проверке криптографической подписи CVE-2026-3564, которая могла позволить захватить не обновлённые экземпляры. С февраля 2024 года Агентство по кибербезопасности и защите инфраструктуры США CISA добавило три уязвимости ScreenConnect в каталог фактически эксплуатируемых уязвимостей; две из них также использовались в атаках с применением программ-вымогателей.
На практике временная мера не является заменой окончательному исправлению, а отсутствие номера CVE может осложнить унификацию процессов мониторинга и координацию между командами безопасности. Организациям, использующим ScreenConnect, следует немедленно проверить затронутые роли и ограничить передачу файлов, а затем отслеживать обновление от ConnectWise, чтобы убедиться в устранении проблемы после его выпуска.