ScreenConnect : une extension tierce au secret par défaut détournée pour prendre la main sur des parcs clients

Veille cyber Top-Secured : analyse indépendante fondée sur les sources citées plus bas. Top-Secured n'est pas affilié aux entreprises mentionnées et ne vous demandera jamais vos identifiants bancaires ni vos mots de passe.

ConnectWise enquête sur des accès illégitimes à des environnements ScreenConnect de ses partenaires, qu’il relie à RMM+, une extension tierce dont l’API accepte un secret par défaut (CVE-2026-127063, CVSS 9,3). Les extensions ont été désactivées dans le cloud ; sur les serveurs installés sur site, c’est aux administrateurs de le faire.

Les faits

Le 11 novembre 2026, ConnectWise a signalé que des attaquants avaient obtenu un accès non autorisé à certains environnements ScreenConnect de ses partenaires, son outil de prise en main à distance très répandu chez les infogérants, et y avaient installé des logiciels d’accès distant illégitimes sur les machines de leurs clients. D’après Huntress, qui a vu l’activité démarrer vers 17 h 47 UTC, au moins 288 postes et serveurs répartis dans 48 organisations clientes de l’éditeur ont été touchés en 90 minutes environ.

ConnectWise affirme ne voir aucun signe de compromission de sa propre infrastructure et précise que l’accès initial ne passe pas par une faille de ScreenConnect. Son analyse désigne RMM+, une extension développée par un tiers. Son API est protégée par un secret, fixe par défaut : les installations qui l’ont conservé peuvent accepter des requêtes sans authentification, y compris des commandes envoyées aux machines gérées. La faiblesse porte la référence CVE-2026-127063 (CVSS 4.0 : 9,3) et aucune version corrigée n’existe à ce jour.

Le mode opératoire

Selon Huntress, les attaquants ont utilisé la fonction Run Command de consoles ScreenConnect hébergées dans le cloud pour lancer des commandes en tant que SYSTEM, sans connexion correspondante dans les journaux. Ils ont déployé une boîte à outils baptisée SCKit, qui installe un second client ScreenConnect sous leur contrôle, une tâche planifiée TrapWatch et un dossier RelayTrap dans ProgramData, et tente de voler les cookies de session. Du code destiné à rebondir vers les postes des techniciens a été retrouvé, sans que Huntress l’ait vu aboutir. Environ 400 environnements partenaires disposaient d’une extension de la famille RMM+ ; ConnectWise souligne que cela ne prouve pas, à soi seul, une compromission.

Que faire maintenant

1. Désactivez les extensions Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link et RMM+ Password Link. ConnectWise l’a fait dans le cloud ; sur site, c’est à vous de le faire.
2. Passez les clients technicien en 26.6.5 ou plus, qui bloquent la technique de propagation (CVE-2026-84869). Mettre à jour la console cloud ne les met pas à jour.
3. Révoquez toutes les sessions web ScreenConnect et celles du fournisseur d’identité, réinitialisez les identifiants et imposez la double authentification : changer un mot de passe ne ferme pas les sessions ouvertes.
4. Cherchez des traces : commandes Run Command que vous n’avez pas lancées, second client ScreenConnect, tâche TrapWatch, dossier RelayTrap, connexions vers 185.99.255[.]28 ou 155.94.150[.]39.
5. N’examinez pas une machine suspecte via ScreenConnect : passez par un autre canal, comme le conseille Huntress.
6. Si un prestataire gère votre parc, demandez-lui par écrit s’il utilise ces extensions et ce qu’il a vérifié.

Notre analyse

Un module ajouté à une console d’administration à distance hérite de son pouvoir sur toutes les machines gérées : il mérite la même vigilance que la console elle-même. Tenez l’inventaire des extensions installées, supprimez celles qui ne servent pas et ne laissez jamais un secret par défaut en place.

Sources

• ConnectWise Trust Center — ScreenConnect security advisory: precautionary extension disabling and partner guidance
• ConnectWise Advisories (GitHub) — CVE-2026-127063
• Huntress — SCKit worm and rogue ScreenConnect clients
• The Record — ConnectWise investigates ScreenConnect breaches after reports of incidents at nearly 50 organizations

Comment nous choisissons, vérifions et rédigeons nos analyses →