概要

ConnectWise製のリモート管理ツールScreenConnectに存在する脆弱性CVE-2026-84869(CVSS 9.9)が、実際の攻撃でワーム的に悪用されていることが判明した。セキュリティ企業Huntressが8月20日以降の侵害事例を確認しており、CISAは同脆弱性を既知の悪用脆弱性(KEV)カタログに追加、連邦機関に対して9月14日までの対応を義務付けた。ConnectWiseは100,000社超のITプロバイダーに利用されており、影響範囲は広い。

脆弱性の技術的詳細

CVE-2026-84869は権限管理の不備および認可の欠落に起因する脆弱性で、ScreenConnectクライアント側で発生する。低い権限しか持たない攻撃者が、稼働中のリモートセッションを通じてホスト側の承認やユーザー操作を伴わずにファイルを転送・実行できてしまう。ConnectWiseは本件について「特定の状況下で、ホストの承認なしにアクティブなリモートセッションを通じてファイルが転送・実行される可能性がある状態」と説明している。攻撃の複雑さは低く、ユーザーの操作も不要であるため悪用のハードルは低い。

ワーム的な攻撃手口

Huntressの調査によれば、攻撃者は改ざんされたScreenConnectクライアントを実行するよう被害者をソーシャルエンジニアリングで誘導し、そこから永続化と拡散を狙う4種類のVBScriptペイロードを展開する。侵害済みの端末を踏み台に、新たに接続してきた別のScreenConnectインスタンスへ次々と感染を広げる挙動が確認されており、単発の攻撃ではなくワームのように自己増殖する点が特徴的だ。ConnectWiseは9月7日の時点でTransferFiles権限を無効化する暫定的な緩和策を公開していたが、根本的な対策には至っていなかった。

対応状況とリスク

ConnectWiseは修正版ScreenConnect 26.6.5をリリース済みで、クライアントおよびセッション処理におけるファイル転送・実行の扱いを強化したとしている。CISAは本脆弱性をKEVカタログに追加し、「この種の脆弱性は悪意あるサイバー攻撃者にとって頻繁な攻撃経路であり、連邦のシステムに重大なリスクをもたらす」として、連邦機関に9月14日までのパッチ適用を義務付けた。Shadowserverの観測では、依然として1,000台超の未パッチ端末がインターネット上に露出しており、北米で758台、欧州で180台が確認されている。2024年以降、ScreenConnectでは4件の脆弱性が実悪用の対象となり、うち2件はランサムウェア攻撃にも使われた経緯があり、早急なアップデートが強く推奨される。

なお同時期にCISAはJFrog ArtifactoryやMikroTik RouterOSの脆弱性もKEVカタログに追加しており、Artifactoryの2件は8月中旬から永続的な管理者アカウントの作成やバックドア設置を伴う攻撃チェーンで悪用され、RouterOSの2件は「MikroTrick」と呼ばれる不正なデバイス乗っ取りに関連しているとされ、今回のScreenConnect問題と合わせてリモート管理・運用基盤を狙う攻撃の増加傾向がうかがえる。