Les points cl\u00e9s en bref<\/p>\n
- \n
- La CISA classe la CVE-2026-84869 comme exploit\u00e9e.<\/strong> Les institutions f\u00e9d\u00e9rales civiles am\u00e9ricaines avaient jusqu\u2019au 14 septembre pour appliquer le correctif et effectuer une analyse forensique.<\/li>\n
- ConnectWise limite la faille au client.<\/strong> Les serveurs restent en dehors du p\u00e9rim\u00e8tre. L\u2019\u00e9valuation indique un niveau Important avec une priorit\u00e9 1 (Haute) et un score de 9,9 sur l\u2019\u00e9chelle CVSS.<\/li>\n
- La version 26.6.5 corrige la faille.<\/strong> Les serveurs cloud sont d\u00e9j\u00e0 mis \u00e0 jour. Les clients h\u00f4tes n\u00e9cessitent une r\u00e9installation et les agents d\u2019acc\u00e8s une mise \u00e0 jour.<\/li>\n
- Huntress a observ\u00e9 fin ao\u00fbt trois incidents.<\/strong> Des clients modifi\u00e9s ont pouss\u00e9 les fichiers 1.vbs \u00e0 4.vbs vers les h\u00f4tes nouvellement connect\u00e9s.<\/li>\n<\/ul>\n<\/div>\n
\u00c0 lire aussi :<\/strong> Des attaquants lisent des fichiers GitLab sans authentification \u00b7 Des commandes externes possibles sur 8 393 serveurs Gitea<\/p>\n
La CISA accorde trois jours aux institutions am\u00e9ricaines<\/h2>\n
Le 11 septembre, l\u2019autorit\u00e9 am\u00e9ricaine CISA a int\u00e9gr\u00e9 la vuln\u00e9rabilit\u00e9 CVE-2026-84869 dans son catalogue des failles connues et exploit\u00e9es. L\u2019entr\u00e9e concerne ConnectWise ScreenConnect. La CISA \u00e9voque un manque d\u2019autorisation et une gestion insuffisante des droits : des fichiers peuvent \u00eatre transf\u00e9r\u00e9s et ex\u00e9cut\u00e9s lors d\u2019une session \u00e0 distance en cours, sans accord de l\u2019h\u00f4te.<\/p>\n
Les institutions f\u00e9d\u00e9rales civiles am\u00e9ricaines devaient corriger cette faille dans leurs syst\u00e8mes concern\u00e9s avant le 14 septembre ou les prot\u00e9ger autrement. Le catalogue exige en outre une analyse forensique. Le CISA indique que l\u2019utilisation li\u00e9e au Ransomware<\/strong> reste inconnue.<\/p>\n
Le Centre canadien pour la cybers\u00e9curit\u00e9<\/a> confirme dans l\u2019avis AV26-903, mis \u00e0 jour le 11 septembre, la m\u00eame int\u00e9gration dans le catalogue des failles exploit\u00e9es. Aucune \u00e9ch\u00e9ance comparable n\u2019existe pour les exploitants allemands. M\u00eame sans d\u00e9lai am\u00e9ricain, ils restent expos\u00e9s \u00e0 la m\u00eame attaque.<\/p>\n
Les fichiers s\u2019ex\u00e9cutent sans validation de l\u2019h\u00f4te<\/h2>\n
ConnectWise<\/a> a d\u00e9crit la faille le 8 septembre et la limite au client. Les serveurs restent hors de port\u00e9e.<\/p>\n
ConnectWise attribue un score de 9,9 sur l\u2019\u00e9chelle CVSS. Le vecteur mentionne une attaque par r\u00e9seau, une complexit\u00e9 faible et des privil\u00e8ges bas. Aucune confirmation de l\u2019h\u00f4te n\u2019est requise.<\/p>\n
Toutes les versions de ScreenConnect ant\u00e9rieures \u00e0 la 26.6.5 sont concern\u00e9es. La version 26.6.5 corrige la faille, tout comme les versions ult\u00e9rieures. ConnectWise avait d\u00e9j\u00e0 pr\u00e9venu ses clients le 3 septembre sur ce comportement de transfert de fichiers et recommand\u00e9 de supprimer l\u2019autorisation TransferFiles dans les sessions ouvertes. Le correctif a suivi cinq jours plus tard.<\/p>\n
\nD\u00e9finition \u00b7 ScreenConnect<\/p>\n
Qu\u2019est-ce que ScreenConnect ?<\/strong> Un logiciel de t\u00e9l\u00e9maintenance d\u00e9velopp\u00e9 par ConnectWise pour les sessions de support et d\u2019acc\u00e8s. Les prestataires de services et les \u00e9quipes IT internes l\u2019utilisent pour contr\u00f4ler des machines distantes. La version cloud est h\u00e9berg\u00e9e par ConnectWise, tandis que la version on-premise est g\u00e9r\u00e9e par le client. Le client install\u00e9 sur l\u2019h\u00f4te ex\u00e9cute les transferts de fichiers et les commandes de d\u00e9marrage.<\/p>\n<\/div>\n
Huntress d\u00e9tecte quatre scripts ex\u00e9cut\u00e9s via le client<\/h2>\n
Huntress<\/a> a observ\u00e9 fin ao\u00fbt dans plusieurs organisations le m\u00eame sch\u00e9ma. Des clients malveillants lan\u00e7aient le Windows Script Host et ex\u00e9cutaient successivement quatre fichiers VBScript. Les incidents ont commenc\u00e9 par du social engineering<\/strong>. Ensuite, des clients d\u00e9j\u00e0 install\u00e9s et modifi\u00e9s ont automatiquement transf\u00e9r\u00e9 ces m\u00eames fichiers vers de nouveaux terminaux connect\u00e9s. Huntress d\u00e9crit cette propagation comme semblable \u00e0 celle d\u2019un ver.<\/p>\n
Deux des cas document\u00e9s remontent au 20 ao\u00fbt, un autre au 24 ao\u00fbt. Une intrusion a eu lieu via Quick Assist, une autre par le t\u00e9l\u00e9chargement d\u2019un fichier d\u2019installation, et une troisi\u00e8me par un faux formulaire de remboursement.<\/p>\n
Huntress cite les fichiers 1.vbs \u00e0 4.vbs. Dans les journaux d\u2019audit de ScreenConnect, les ex\u00e9cutions de RunFiles ou RanFiles portant ces noms, lanc\u00e9es depuis le processus Guest, sont consid\u00e9r\u00e9es comme suspectes.<\/p>\n
John Hammond, Senior Principal Security Researcher chez Huntress, a d\u00e9clar\u00e9 \u00e0 Help Net Security<\/a> que l\u2019activit\u00e9 observ\u00e9e correspond \u00e0 la description de la faille. Huntress avait pr\u00e9alablement coordonn\u00e9 ses observations avec ConnectWise. Aucun groupe criminel identifi\u00e9 n\u2019est connu \u00e0 ce jour.<\/p>\n
La mise \u00e0 jour du cloud laisse les clients h\u00f4tes expos\u00e9s<\/h2>\n
ConnectWise a d\u00e9j\u00e0 mis \u00e0 jour les serveurs en cloud. Le bulletin d\u2019alerte exige n\u00e9anmoins la r\u00e9installation des clients h\u00f4tes et la mise \u00e0 jour des agents d\u2019acc\u00e8s. Les partenaires en mode on-premise doivent d\u2019abord passer \u00e0 la version 26.6.5, puis appliquer les m\u00eames \u00e9tapes pour les clients. En attendant, d\u00e9sactiver les droits de transfert de fichiers dans les sessions concern\u00e9es r\u00e9duit la surface d\u2019attaque.<\/p>\n
\n - ConnectWise limite la faille au client.<\/strong> Les serveurs restent en dehors du p\u00e9rim\u00e8tre. L\u2019\u00e9valuation indique un niveau Important avec une priorit\u00e9 1 (Haute) et un score de 9,9 sur l\u2019\u00e9chelle CVSS.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/cisa-listet-gitlab-dateien-ohne-login-cover-hero-3-250x143.jpg\")
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/cisa-listet-mikrotik-nach-ssh-uebernahmen-cover-hero-1-250x141.jpg\")
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/08\/gitea-8393-ungepatchte-ips-trotz-juli-fix-cover-hero-250x143.jpg\")