Strona główna / Blog / ScreenConnect: podatny klient, nie serwer

Blog · case study

ScreenConnect 26.6.5: serwer jest spatchowany, ale podatność siedzi w kliencie. Kiedy remediation wymaga też ponownej instalacji Host Clientów

ConnectWise opublikował 8 września 2026 bulletin dla ScreenConnect 26.6.5 (CVE-2026-84869): w określonych warunkach możliwe jest przesyłanie i wykonywanie plików podczas aktywnej sesji zdalnej bez wymaganej autoryzacji lub potwierdzenia po stronie Host. CVSS 3.1 to 9.9. Ale vendor dodaje zdanie, które zmienia sposób prowadzenia remediation: „ScreenConnect servers are not impacted”.

CVE-2026-84869 (CVSS 9.9): file transfer/execution w aktywnej sesji bez autoryzacji/Host confirmation; podatny jest klient, nie serwer.
Fix: dystrybuowany jako 26.6.5, ale wymaga reinstalacji Host Clientów i aktualizacji Access Agents.
Tymczasowy control: usunięcie uprawnienia TransferFiles ze wszystkich session groups.

Remediation graph, nie numer wersji

Patch serwera bywa wymaganym delivery mechanism, mimo że root cause nie jest w serwerze:

control server → dystrybuuje poprawiony client → Host Clients → Access Agents → runtime sessions

Dlatego status powinien być liczony po populacji rollout, a nie po wersji centralnej platformy:

server: 26.6.5 updated clients: 1782/2400 updated, 618 vulnerable_or_unknown finding_status: remediation_in_progress (NIE: fixed)

Cloud nie znaczy „nic do zrobienia”

ConnectWise aktualizuje instancje cloud automatycznie, ale bulletin i tak instruuje: „reinstall your host clients and update your access agents”. Shared responsibility: w cloud provider łata serwer, ale rollout klientów pozostaje po stronie klienta. Endpoint offline podczas rolloutu nie ma właściwych binariów — desired state vs observed runtime state.

CVSS 9.9 vs vendor „Important / Priority 1”

Publiczny CVSS to 9.9 (Critical), a ConnectWise klasyfikuje bulletin jako Severity: Important, Priority: 1 – High. To nie błąd danych — to dwie różne taksonomie (ilościowy model techniczny vs operacyjna kategoria vendora vs urgency). VM ma przechowywać wszystkie z provenance, nie nadpisywać jednej drugą. Uwaga: „Priority 1” (targetowane lub podwyższone ryzyko) to nie potwierdzone active exploitation — nie wymyślaj tego statusu.

Weryfikacja pokrycia i mitygacji

Weryfikacja mitygacji to nie „administrator mówi, że TransferFiles wyłączone”, lecz: wszystkie role wyliczone, uprawnienie nieobecne wszędzie (16 z 17 ról to niepełny control). Po rolloucie: ilu klientów raportuje poprawiony build, ilu offline/stale/failed, plus negatywny test (operacja wymagająca autoryzacji nie przechodzi bez niej). Patch zamyka znaną ścieżkę, ale nie odpowiada, czy wcześniej doszło do wykorzystania — przy podejrzeniu: izolacja, przegląd ról/haseł/MFA, audit log.

Wniosek

Dojrzały VM nie kończy się na wersji centralnego produktu. Trzeba śledzić patch authority → distribution point → runtime affected component → rollout coverage → security property verification. Dopiero po całym łańcuchu można uczciwie powiedzieć „gotowe”.

Powiązane na blogu

Źródła

Nota redakcyjna: stan informacji 9 września 2026. CVE-2026-84869 (ScreenConnect, CVSS 9.9): podatność w kliencie/sesji, serwer nie jest impacted; fix 26.6.5 wymaga reinstalacji Host Clientów i aktualizacji Access Agents. Artykuł koncentruje się na tym, że remediation target ≠ komponent z root cause i że status liczy się po rollout coverage.

Zapamiętaj jedno

Remediation target nie zawsze jest tym samym komponentem, w którym znajduje się root cause. Vendor mówi „server nie jest impacted”, a mimo to security release wymaga centralnego upgrade i ponownego wdrożenia klientów/agentów. Status liczy się po rollout coverage, nie po wersji serwera.