ScreenConnect and SCKit: Why Specialist Computers Must Be Verified

12 ноября 2026 года в 21:45 МСК ConnectWise уточнила рекомендации по расследованию несанкционированного доступа к партнёрским средам ScreenConnect. Если администратор вашего сайта или сервера использует этот инструмент, попросите проверить клиенты на компьютерах специалистов: нужна версия 26.6.5 или новее. Обновлённая облачная консоль сама по себе этого не подтверждает.

По сообщению производителя, исправление CVE-2026-84869 блокирует используемую SCKit попытку распространения с заражённого устройства на подключающийся компьютер специалиста. Успешного распространения этим способом исследователи пока не наблюдали. Это не отменяет расследование уже полученного несанкционированного доступа.

Первоначальный способ доступа и полный масштаб ещё проверяются. ConnectWise рассматривает злоупотребление сторонними расширениями семейства RMM+; наличие такого расширения само по себе не доказывает взлом. Компания не обнаружила свидетельств компрометации своей инфраструктуры или использования уязвимости ScreenConnect для первоначального доступа.

Исправление CVE-2026-84869 выпущено 8 сентября в ScreenConnect 26.6.5. Бюллетень относит проблему к клиентам более ранних версий: при определённых условиях активного удалённого сеанса возможны неразрешённые передача и запуск файлов. Серверы этой уязвимостью не затронуты. Ноябрьское сообщение уточняет значение уже существующего исправления для текущего расследования.

Проверка нужна и облачным, и локальным установкам. Администратору следует сверить версию каждого установленного клиентского приложения специалиста и выполнить предусмотренную производителем переустановку клиентов; агенты доступа также должны быть актуальными. Для локального сервера официальный путь к 26.6.5 требует версии 25.4 или новее и проверки права на обновление. Не заменяйте это произвольной установкой пакета.

• Пока клиенты не обновлены, ограничить ненужную передачу файлов в ролях и группах сеансов. Это временное снижение риска, а не замена исправлению.
• Проверить отключение Labtech Plus, RMM Plus, RMM+ и вариантов RMM Plus Password Link / RMM+ Password Link; не включать их обратно до новых указаний.
• С доверенного устройства отозвать активные веб-сессии ScreenConnect, а также активные сессии связанного поставщика идентификации. Сменить соответствующие учётные данные и включить MFA. Одна смена пароля не отзывает все сессии.
• При подозрении на вмешательство использовать независимые средства защиты и расследования. В область расследования включить также компьютеры специалистов, которые подключались к затронутым устройствам. Речь о проверке этих компьютеров, а не об указании включать их питание. Не расследовать и не очищать подозрительные устройства через ScreenConnect.

До очистки очередей команд и инструментов сохраните журналы и другие свидетельства. Удаление постороннего доступа и проверку восстановления поручите ответственному специалисту. Обновление клиента, отключение расширений и смена паролей не устраняют автоматически прежнюю компрометацию.

Нужен конкретный результат: используется ли ScreenConnect для ваших систем, какие клиентские версии проверены, что сделано с расширениями и сессиями и требуется ли расследование. Если инструмент не используется, эта новость не является основанием менять инфраструктуру сайта. Наличие VPS или 1С-Битрикс само по себе не означает зависимости от ScreenConnect.

Актуальность: 13 ноября 2026 года, 00:06 МСК. Новые указания опубликованы 12 ноября в 18:45 UTC; первоначальное уведомление — 11 ноября в 22:45 UTC, то есть 12 ноября в 01:45 МСК. Расследование продолжается; географический охват не уточнён.

On November 12, 2026, at 21:45 MSK, ConnectWise clarified recommendations for investigating unauthorized access to ScreenConnect partner environments. If your site or server administrator uses this tool, request that clients on specialist computers be checked: version 26.6.5 or newer is required. An updated cloud console alone does not confirm this.

According to the manufacturer, the fix for CVE-2026-84869 blocks the SCKit distribution attempt from an infected device to a connecting specialist computer. Researchers have not yet observed successful distribution via this method. This does not negate the need to investigate already obtained unauthorized access.

The initial access method and full scope are still under investigation. ConnectWise is examining abuse of third-party extensions within the RMM+ family; the mere presence of such an extension does not prove a breach. The company found no evidence of compromise to its infrastructure or use of the ScreenConnect vulnerability for initial access.

The fix for CVE-2026-84869 was released on September 8 in ScreenConnect 26.6.5. The bulletin attributes the issue to clients of earlier versions: under certain conditions during an active remote session, unauthorized file transfer and execution are possible. Servers are not affected by this vulnerability. The November update clarifies the relevance of the existing fix for the ongoing investigation.

Verification is required for both cloud and on-premises installations. Administrators should verify the version of each installed specialist client application and perform the manufacturer-specified client reinstallation; access agents must also be up to date. For an on-premises server, the official path to 26.6.5 requires version 25.4 or later and verification of the right to update. Do not replace this with an arbitrary package installation.

• Until clients are updated, restrict unnecessary file transfers in session roles and groups. This is a temporary risk reduction, not a replacement for a fix.
• Verify that Labtech Plus, RMM Plus, RMM+, and RMM Plus Password Link / RMM+ Password Link variants are disabled; do not re-enable them until further notice.
• From a trusted device, revoke active ScreenConnect web sessions and active sessions of the associated identity provider. Change the relevant credentials and enable MFA. A single password change does not revoke all sessions.
• If tampering is suspected, use independent protection and investigation tools. Include the computers of specialists who connected to the affected devices in the investigation scope. This refers to checking these computers, not instructing to power them on. Do not investigate or clean suspicious devices via ScreenConnect.

Before clearing command and tool queues, save logs and other evidence. Entrust the removal of unauthorized access and verification of recovery to a responsible specialist. Updating the client, disabling extensions, and changing passwords do not automatically eliminate prior compromise.

A specific result is needed: is ScreenConnect used for your systems, which client versions have been checked, what was done with extensions and sessions, and is an investigation required? If the tool is not used, this news is not a reason to change the site infrastructure. Having a VPS or 1C-Bitrix alone does not imply a dependency on ScreenConnect.

Relevance: November 13, 2026, 00:06 MSK. New instructions were published on November 12 at 18:45 UTC; the initial notification was on November 11 at 22:45 UTC, which is November 12 at 01:45 MSK. The investigation is ongoing; the geographic scope is not specified.