ScreenConnect: un’estensione di terze parti con un segreto predefinito sfruttata per prendere il controllo dei dispositivi gestiti

Monitoraggio cyber di Top-Secured: analisi indipendente basata sulle fonti citate più in basso. Top-Secured non è affiliato alle aziende menzionate e non le chiederà mai le sue credenziali bancarie né le sue password.

ConnectWise indaga su accessi non autorizzati ad ambienti ScreenConnect dei suoi partner, che collega a RMM+, un’estensione di terze parti la cui API accetta un segreto predefinito (CVE-2026-127063, CVSS 9,3). Le estensioni sono state disattivate nel cloud; sui server on-premise devono intervenire gli amministratori.

Cosa è successo

L’11 novembre 2026 ConnectWise ha segnalato che alcuni attaccanti avevano ottenuto un accesso non autorizzato ad ambienti ScreenConnect di suoi partner, lo strumento di assistenza remota molto diffuso tra i fornitori di servizi IT gestiti (MSP), installando software di accesso remoto non autorizzato sui dispositivi dei loro clienti. Secondo Huntress, che ha visto iniziare l’attività verso le 17:47 UTC, almeno 288 dispositivi in 48 organizzazioni sue clienti sono stati colpiti in circa 90 minuti.

ConnectWise afferma di non vedere segni di compromissione della propria infrastruttura e che l’accesso iniziale non è avvenuto tramite una falla di ScreenConnect. La sua analisi indica RMM+, un’estensione sviluppata da terzi. La sua API è protetta da un segreto statico per impostazione predefinita: le installazioni che lo hanno mantenuto possono accettare richieste non autenticate, compresi comandi inviati ai dispositivi gestiti. La debolezza è identificata come CVE-2026-127063 (CVSS 4.0: 9,3) e non esiste ancora una versione corretta.

Come hanno agito gli attaccanti

Secondo Huntress, gli attaccanti hanno usato la funzione Run Command di console ScreenConnect ospitate nel cloud per eseguire comandi come SYSTEM, senza alcun accesso corrispondente nei log. Hanno distribuito un kit chiamato SCKit, che installa un secondo client ScreenConnect sotto il loro controllo, un’attività pianificata TrapWatch e una cartella RelayTrap in ProgramData, e cerca di rubare i cookie di sessione. È stato trovato codice pensato per propagarsi alle postazioni dei tecnici, ma Huntress non lo ha visto andare a buon fine. Circa 400 ambienti partner avevano installata un’estensione della famiglia RMM+; ConnectWise sottolinea che questo, da solo, non prova una compromissione.

Cosa fare subito

1. Disattivate le estensioni Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link e RMM+ Password Link. ConnectWise lo ha fatto nel cloud; on-premise spetta agli amministratori.
2. Aggiornate i client tecnico alla 26.6.5 o successiva, che bloccano la tecnica di propagazione (CVE-2026-84869). Aggiornare la console cloud non li aggiorna.
3. Revocate tutte le sessioni web di ScreenConnect e quelle del provider di identità, reimpostate le credenziali e imponete l’MFA: cambiare una password non chiude le sessioni aperte.
4. Cercate tracce: comandi Run Command che non avete lanciato, un secondo client ScreenConnect, l’attività TrapWatch, la cartella RelayTrap, connessioni verso 185.99.255[.]28 o 155.94.150[.]39.
5. Non esaminate un dispositivo sospetto tramite ScreenConnect: usate un altro canale, come consiglia Huntress.
6. Se un fornitore gestisce i vostri dispositivi, chiedetegli per iscritto se usa queste estensioni e cosa ha verificato.

La nostra analisi

Un plug-in installato su una console di gestione remota eredita il suo potere su tutte le macchine gestite e merita la stessa attenzione della console stessa. Tenete un inventario delle estensioni installate, rimuovete quelle inutilizzate e non lasciate mai un segreto predefinito.

Fonti

• ConnectWise Trust Center — ScreenConnect security advisory: precautionary extension disabling and partner guidance
• ConnectWise Advisories (GitHub) — CVE-2026-127063
• Huntress — SCKit worm and rogue ScreenConnect clients
• The Record — ConnectWise investigates ScreenConnect breaches after reports of incidents at nearly 50 organizations

Come scegliamo, verifichiamo e scriviamo le nostre analisi →