Lo esencial en breve<\/p>\n
- \n
- CISA lista CVE-2026-84869 como explotada.<\/strong> Las instituciones federales civiles de EE.UU. ten\u00edan hasta el 14 de septiembre para aplicar el parche y realizar un an\u00e1lisis forense.<\/li>\n
- ConnectWise limita la vulnerabilidad al cliente.<\/strong> Los servidores quedan fuera de riesgo. La valoraci\u00f3n es Important<\/em> con prioridad 1 (Alta) y puntuaci\u00f3n 9,9 en la escala CVSS.<\/li>\n
- La versi\u00f3n 26.6.5 corrige el fallo.<\/strong> Los servidores en la nube ya est\u00e1n actualizados. Los clientes host y los Access Agents requieren reinstalaci\u00f3n.<\/li>\n
- Huntress detect\u00f3 tres incidentes a finales de agosto.<\/strong> Clientes modificados enviaron los archivos del 1.vbs al 4.vbs a nuevos hosts conectados.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/strong> Atacantes leen archivos de GitLab sin iniciar sesi\u00f3n \u00b7 Es posible ejecutar comandos externos en 8.393 servidores de Gitea<\/p>\n
CISA da tres d\u00edas de plazo a las instituciones estadounidenses<\/h2>\n
El 11 de septiembre, la agencia estadounidense CISA incluy\u00f3 la vulnerabilidad CVE-2026-84869 en su cat\u00e1logo de fallos explotados. El registro afecta a ConnectWise ScreenConnect. CISA describe falta de autorizaci\u00f3n y mala gesti\u00f3n de permisos: durante una sesi\u00f3n remota activa, archivos pueden transferirse y ejecutarse sin aprobaci\u00f3n del anfitri\u00f3n.<\/p>\n
Las instituciones federales civiles de EE.UU. deb\u00edan corregir la vulnerabilidad en sistemas afectados antes del 14 de septiembre o implementar medidas alternativas de protecci\u00f3n. El cat\u00e1logo exige adem\u00e1s un an\u00e1lisis forense. CISA indica que el uso para Ransomware<\/em> es desconocido.<\/p>\n
El Centro Canadiense de Ciberseguridad<\/a> confirma en la alerta AV26-903 (actualizada el 11 de septiembre) la misma inclusi\u00f3n en el cat\u00e1logo. Para operadores alemanes no existe plazo comparable, pero est\u00e1n expuestos al mismo ataque.<\/p>\n
Los archivos se ejecutan en la sesi\u00f3n sin aprobaci\u00f3n del host<\/h2>\n
ConnectWise<\/a> detall\u00f3 la vulnerabilidad el 8 de septiembre y la limit\u00f3 al cliente. Los servidores quedan a salvo.<\/p>\n
La empresa asigna una puntuaci\u00f3n de 9,9 en la escala CVSS. El vector menciona ataque por red, baja complejidad y privilegios m\u00ednimos. No se requiere confirmaci\u00f3n del anfitri\u00f3n.<\/p>\n
Est\u00e1n afectadas todas las versiones de ScreenConnect anteriores a la 26.6.5. Esta versi\u00f3n y posteriores corrigen el fallo. ConnectWise advirti\u00f3 el 3 de septiembre sobre el comportamiento de transferencia de archivos y recomend\u00f3 desactivar el permiso TransferFiles<\/em> en sesiones abiertas. El parche lleg\u00f3 cinco d\u00edas despu\u00e9s.<\/p>\n
\nDefinici\u00f3n \u00b7 ScreenConnect<\/p>\n
\u00bfQu\u00e9 es ScreenConnect?<\/strong> Un software de asistencia remota de ConnectWise para sesiones de soporte y acceso. Proveedores de servicios y equipos internos de TI controlan as\u00ed equipos ajenos. La versi\u00f3n en la nube (cloud<\/em>) la gestiona ConnectWise, mientras que la instalaci\u00f3n local (on-premise<\/em>) corre a cargo del cliente. El cliente instalado en el anfitri\u00f3n ejecuta transferencias de archivos y comandos de inicio.<\/p>\n<\/div>\n
Huntress detecta cuatro scripts ejecut\u00e1ndose a trav\u00e9s del cliente<\/h2>\n
Huntress<\/a> observ\u00f3 a finales de agosto en varias organizaciones el mismo patr\u00f3n: clientes maliciosos activaban el Windows Script Host y ejecutaban secuencialmente cuatro archivos VBScript. Los incidentes comenzaron con ingenier\u00eda social, y luego los clientes ya infectados y modificados transfer\u00edan autom\u00e1ticamente esos mismos archivos a nuevos puntos de conexi\u00f3n. Huntress describe esta propagaci\u00f3n como similar a la de un gusano.<\/p>\n
Dos de los casos documentados ocurrieron el 20 de agosto, otro el 24 de agosto. Los atacantes accedieron a trav\u00e9s de Quick Assist en un caso, mediante una instalaci\u00f3n descargada en otro, y usando un formulario de reembolso falsificado en el tercero.<\/p>\n
Huntress identifica los archivos como 1.vbs hasta 4.vbs. En los registros de auditor\u00eda de ScreenConnect, las entradas denominadas RunFiles o RanFiles con esos nombres, ejecutadas desde el proceso Guest, deben considerarse sospechosas.<\/p>\n
John Hammond, investigador principal de seguridad en Huntress, declar\u00f3 a Help Net Security<\/a> que la actividad observada coincide con la descripci\u00f3n de la vulnerabilidad. Huntress hab\u00eda coordinado previamente sus hallazgos con ConnectWise. No se conoce ning\u00fan grupo criminal espec\u00edfico detr\u00e1s de estos ataques.<\/p>\n
La actualizaci\u00f3n en la nube deja expuestos a los clientes host<\/h2>\n
ConnectWise ya ha actualizado los servidores en la nube, pero el comunicado exige igualmente reinstalar los clientes host y actualizar los Access Agents. Los socios on-premise primero actualizan a la versi\u00f3n 26.6.5 y luego ejecutan los mismos pasos para los clientes. Hasta entonces, desactivar los permisos de transferencia de archivos en las sesiones afectadas reduce la superficie de ataque.<\/p>\n
\n - ConnectWise limita la vulnerabilidad al cliente.<\/strong> Los servidores quedan fuera de riesgo. La valoraci\u00f3n es Important<\/em> con prioridad 1 (Alta) y puntuaci\u00f3n 9,9 en la escala CVSS.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/cisa-listet-gitlab-dateien-ohne-login-cover-hero-3-250x143.jpg\")
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/cisa-listet-mikrotik-nach-ssh-uebernahmen-cover-hero-1-250x141.jpg\")
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/08\/gitea-8393-ungepatchte-ips-trotz-juli-fix-cover-hero-250x143.jpg\")