ScreenConnect client bypassı CVE-2026-84869 solucan benzeri yayılımla aktif olarak sömürülüyor

Client tarafında eksik bir yetkilendirme kontrolü

ConnectWise, CVE-2026-84869'yı 3 Eylül 2026 tarihli bir duyuruda açıkladı ve düzeltmeyi beş gün sonra, 8 Eylül'de ScreenConnect 26.6.5 sürümünde yayınladı; bu bilgi olaya ilişkin bir dev.to analizine dayanıyor. Açık, ScreenConnect client'ının dosya aktarımı işleyişinde eksik bir yetkilendirme kontrolü ve CWE-269 ile CWE-862 kapsamında sınıflandırılmış. ConnectWise açığı 10 üzerinden 9.9 puanla derecelendirdi.

Pratik etkisi şu: aktif bir uzak oturum içinde, teknisyen tarafından başlatılan bir dosya aktarımı Host onay istemini atlayıp doğrudan hedef makinede çalıştırılabiliyor. Yalnızca client etkileniyor; 26.6.5 altındaki sürümler. Server bu hatadan etkilenmiyor; bu da ScreenConnect server'larını yükselten ama eski client'ları kurulu bırakan bir yapıyı tamamen açık halde tutuyor.

Kendi kendine yayılan davranışla sömürü

Yazıda atıf yapılan Huntress raporlarına göre açık gerçek saldırılarda kullanılmış. Güvenlik firması, Ağustos sonunda birkaç kuruluşta yetkisiz şekilde kurulmuş ScreenConnect client'ları ile üzerinde oynanmış client'lar bulduğunu açıkladı. Kötü amaçlı etkinlik, dört kötü amaçlı VBScript'i çalıştırmak için tekrar tekrar wscript.exe süreçleri başlattı.

Daha da çarpıcı olan yayılma biçimi. dev.to analizi, etkinliğin aynı ScreenConnect örneğine yeni bağlanan uç noktalara kendini itebildiğini, böylece yönetilen makine filosu içinde solucan benzeri davranış sergilediğini belirtiyor. Uzaktan izleme ve yönetim (RMM) platformları, yöneticilerin kendilerine bilinçli olarak geniş kapsamlı çalıştırma hakları vermesi nedeniyle bu tür kötüye kullanım için doğal bir hedef.

CISA listesi ve son tarih

CISA, CVE-2026-84869'yı Bilinen Sömürülen Zafiyetler (KEV) kataloğuna ekledi ve düzeltme için 14 Eylül son tarihini belirledi. Kesin listelenme tarihi kayıtlar arasında tutarsız: yazıya göre bazı kayıtlarda 10 veya 11 Eylül, diğerlerinde 12 Eylül görünüyor.

Yöneticiler şimdi ne yapmalı

dev.to yazısı bir müdahale planı ortaya koyuyor:

• Yalnızca server'larda değil, yönetilen her uç noktadaki ScreenConnect client sürümünü envanterleyin ve 26.6.5 altındaki her şeyi yükseltin.

• Geçici bir kontrol olarak Administration, ardından Security, ardından Roles altında her rol için TransferFiles iznini temizleyin. ConnectWise bunun yükseltmenin yerini tutmadığı konusunda uyarıyor.

• Saldırı belirtilerini arayın: ScreenConnect client'ı tarafından başlatılan wscript.exe süreçleri, hiçbir değişiklik kaydının açıklamadığı client kurulumları ve hash'i bilinen bir üretici derlemesiyle eşleşmeyen client binary'leri.

• Host onayı olayıyla eşleşmeyen tamamlanmış dosya aktarımları için oturum kayıtlarını inceleyin.

Neden önemli

RMM araçları çoğu kurumsal yapının güven sınırının derinlerinde yer alır ve MITRE ATT&CK bu tür sızmaları T1219 tekniği altında izler. Yönetim aracının kendisi hedef haline geldiğinde, yöneticileri verimli kılan ayrıcalıklar tam da bir sızmanın sessiz kalmasını sağlayan şeydir. ScreenConnect olayı, client tarafı bileşenlerin bağlandıkları server'larla aynı sürüm takibi ve yama aciliyetine ihtiyaç duyduğunun bir hatırlatıcısı: güvenlik açığı kapatılmış bir server'ın önünde durduğu savunmasız client filosu hâlâ açık bir kapıdır ve KEV son tarihi, düzenleyicilerin temizliğin yalnızca veri merkezine değil her uç noktaya ulaşmasını beklediğinin işaretidir.