La sessione di supporto diventa un canale di esecuzione
CISA ha confermato lo sfruttamento attivo di ConnectWise ScreenConnect CVE-2026-84869. La storia non è più una sola falla critica nel prodotto: è un percorso reale per far girare codice attraverso sessioni di supporto già fidate.
Il problema sta nel trust boundary del file transfer durante una sessione remota. Un file trasferito può partire sull’host senza la normale approvazione, così il canale pensato per l’assistenza diventa il vettore di esecuzione sulla macchina gestita.
Per chi usa ScreenConnect in helpdesk e gestione endpoint, il rischio non finisce con la patch del server. Se una sessione attiva è stata esposta, resta aperta la possibilità che il supporto remoto sia stato usato come canale diretto di esecuzione sugli host.
CVSS 9.9 CRITICAL: a condition in the ScreenConnect client may allow files to be transferred and executed through an active remote session without authorization or Host confirmation in certain circumstances. EPSS 0.9% (59º percentile).
Data di correzione federale CISA 14 set · data superata