Aggiornamento 13 settembre 2026: CVE-2026-84869 non è più soltanto una vulnerabilità critica da patchare in via preventiva. L’11 settembre CISA ha aggiunto la falla di ConnectWise ScreenConnect al catalogo Known Exploited Vulnerabilities, confermando che esistono evidenze di sfruttamento nel mondo reale.
Per chi usa ScreenConnect la decisione operativa è quindi più urgente: le installazioni on-premises devono essere portate alla versione 26.6.5 o successiva. La disattivazione del permesso TransferFiles resta una mitigazione temporanea per chi non può aggiornare immediatamente, ma non sostituisce la patch.
CVE-2026-84869 è sfruttata attivamente: cosa cambia
Il bollettino ufficiale ConnectWise assegna a CVE-2026-84869 un punteggio CVSS 9,9 su 10 e la classifica come priorità 1. Inizialmente questo indicava un rischio molto elevato, ma non costituiva da solo una prova di attacchi reali. L’ingresso nel CISA KEV dell’11 settembre cambia il quadro: oggi lo sfruttamento è confermato da una fonte indipendente dal vendor.
Questo non significa che ogni server ScreenConnect vulnerabile sia stato compromesso. Significa però che lasciare una versione precedente alla 26.6.5 espone a una falla già utilizzata sul campo, quindi patch e verifica dei log vanno trattate come attività prioritarie.
| Voce | Dato operativo |
|---|---|
| Vulnerabilità | CVE-2026-84869 |
| Gravità | CVSS 9,9/10 |
| Sfruttamento | Confermato, CISA KEV dall’11 settembre 2026 |
| Versioni da correggere | ScreenConnect precedenti alla 26.6.5 |
| Versione corretta | 26.6.5 o successiva |
| Mitigazione temporanea | Disabilitare TransferFiles |
Che cosa colpisce la vulnerabilità di ScreenConnect
ConnectWise precisa che la condizione vulnerabile riguarda il client ScreenConnect e la gestione di determinate azioni durante una sessione remota attiva. In alcune circostanze può essere possibile trasferire ed eseguire file senza la normale autorizzazione o conferma dell’Host.
Il produttore indica inoltre che il server ScreenConnect non è direttamente il componente affetto dalla falla. Questa distinzione è importante soprattutto negli ambienti Cloud: il servizio centrale viene gestito da ConnectWise, mentre Host client e Access Agent devono comunque ricevere gli aggiornamenti previsti.
Come aggiornare ScreenConnect on-premises
Se l’istanza è self-hosted, il controllo da fare è immediato: verifica la release in uso e porta l’ambiente almeno alla 26.6.5, oppure a una versione successiva supportata che includa la correzione.
- Apri la console amministrativa e controlla la versione realmente installata.
- Se è precedente alla 26.6.5, pianifica l’upgrade con priorità alta.
- Verifica licenza, backup e procedura di rollback prima dell’intervento.
- Installa la release ufficiale indicata da ConnectWise.
- Dopo il riavvio, conferma che la versione finale sia 26.6.5 o successiva.
- Verifica che Host client e Access Agent siano aggiornati e che le sessioni remote funzionino correttamente.
Se la licenza on-premises è fuori manutenzione, ConnectWise segnala che può essere necessario rinnovarla per installare una release supportata. In uno scenario di sfruttamento attivo, lasciare una build vulnerabile per evitare il rinnovo aumenta il rischio operativo.
ScreenConnect Cloud: devi fare qualcosa?
Per ScreenConnect Cloud il server viene aggiornato dal fornitore, quindi il cliente non deve installare manualmente la patch dell’istanza. Resta però necessario verificare che i componenti usati nelle sessioni, compresi Host client e Access Agent, risultino aggiornati o reinstallati quando richiesto dal vendor.
Non è quindi corretto concludere che un ambiente Cloud non richieda alcun controllo: la gestione del server è diversa, ma i client che partecipano alla sessione restano parte della superficie operativa.
TransferFiles è ancora una mitigazione utile?
Sì, ma soltanto come misura temporanea. Se non puoi installare subito ScreenConnect 26.6.5, ConnectWise mantiene la raccomandazione di rimuovere il permesso TransferFiles dai ruoli che lo possiedono.
- Apri Administration > Security.
- Controlla i ruoli e i session group associati.
- Deseleziona TransferFiles per i ruoli interessati.
- Salva le modifiche e verifica con un account tecnico che il trasferimento non sia più consentito.
- Completa comunque l’upgrade alla versione corretta appena possibile.
La mitigazione riduce la superficie utilizzabile, ma non corregge il difetto nel prodotto. Ora che CISA conferma lo sfruttamento, la patch deve essere il punto di arrivo, non una voce opzionale.
Dopo la patch controlla sessioni, file e processi
Installare la 26.6.5 chiude la vulnerabilità nota per i nuovi tentativi, ma non dimostra che un ambiente esposto prima dell’aggiornamento sia rimasto intatto. Se ScreenConnect è stato raggiungibile da reti non fidate mentre era vulnerabile, rivedi almeno audit log e cronologia delle sessioni.
- sessioni remote che non riconosci;
- azioni di trasferimento file inattese;
- processi avviati durante sessioni non pianificate;
- account tecnici o ruoli modificati senza change autorizzato;
- nuovi Access Agent distribuiti su endpoint non previsti;
- connessioni da indirizzi o orari incompatibili con l’attività abituale.
Un singolo evento anomalo non prova automaticamente una compromissione. Se più segnali coincidono, conserva le evidenze e applica la procedura di incident response invece di limitarti a cancellare un file o disinstallare un agente.
Il rischio dei software di gestione remota è un cluster più ampio
ScreenConnect fa parte di una categoria particolarmente sensibile perché un software RMM può controllare numerosi endpoint. Lo stesso principio vale per altre piattaforme centrali: su Tech iCrewPlay abbiamo seguito anche N-central e CVE-2026-86218 e le vulnerabilità sfruttate di JFrog Artifactory.
In tutti questi casi la logica è la stessa: correggere il prodotto e poi verificare ciò che può essere successo prima della correzione. Le piattaforme di amministrazione hanno privilegi e visibilità sufficienti perché una compromissione non debba essere trattata come un normale bug di un’app desktop.
Checklist ScreenConnect dopo l’ingresso nel CISA KEV
| Situazione | Azione |
|---|---|
| On-premises sotto 26.6.5 | Aggiorna con priorità |
| Upgrade temporaneamente impossibile | Disabilita TransferFiles e programma la patch |
| ScreenConnect Cloud | Server gestito da ConnectWise; verifica client e agent |
| Ambiente rimasto vulnerabile | Rivedi log, sessioni, file transfer e processi |
| Segnali compatibili con abuso | Conserva le evidenze e avvia incident response |
La novità dell’11 settembre è decisiva: CVE-2026-84869 è una vulnerabilità sfruttata realmente. Se usi ScreenConnect on-premises sotto la 26.6.5, aggiorna; se l’ambiente è rimasto esposto, affianca alla patch un controllo delle attività remote avvenute prima dell’intervento.
Entra nella conversazione
Condividi il tuo punto di vista: non serve creare un account. I contributi restano soggetti alla moderazione editoriale.