ScreenConnect: una extensión de terceros con un secreto por defecto, usada para tomar el control de equipos gestionados

Vigilancia cibernética de Top-Secured: análisis independiente basado en las fuentes citadas más abajo. Top-Secured no está afiliado a las empresas mencionadas y nunca le pedirá sus datos bancarios ni sus contraseñas.

ConnectWise investiga accesos no autorizados a entornos ScreenConnect de sus socios, que vincula con RMM+, una extensión de terceros cuya API acepta un secreto por defecto (CVE-2026-127063, CVSS 9,3). Las extensiones se han desactivado en la nube; en los servidores locales deben hacerlo sus administradores.

Qué ha pasado

El 11 de noviembre de 2026, ConnectWise advirtió de que unos atacantes habían logrado acceso no autorizado a algunos entornos de ScreenConnect de sus socios, su herramienta de soporte remoto muy extendida entre los proveedores de servicios gestionados (MSP), y habían instalado software de acceso remoto no autorizado en equipos de sus clientes. Según Huntress, que vio comenzar la actividad hacia las 17:47 UTC, al menos 288 equipos de 48 organizaciones clientes suyas se vieron afectados en unos 90 minutos.

ConnectWise afirma no ver indicios de que su propia infraestructura se haya visto comprometida y que el acceso inicial no se basó en un fallo de ScreenConnect. Su análisis apunta a RMM+, una extensión desarrollada por un tercero. Su API está protegida por un secreto estático por defecto: las instalaciones que lo conservaron pueden aceptar peticiones sin autenticación, incluidos comandos enviados a los equipos gestionados. La debilidad se identifica como CVE-2026-127063 (CVSS 4.0: 9,3) y todavía no existe una versión corregida.

Cómo actuaron los atacantes

Según Huntress, los atacantes usaron la función Run Command de consolas ScreenConnect alojadas en la nube para lanzar comandos como SYSTEM, sin ningún inicio de sesión correspondiente en los registros. Desplegaron un kit llamado SCKit, que instala un segundo cliente ScreenConnect bajo su control, una tarea programada TrapWatch y una carpeta RelayTrap en ProgramData, e intenta robar cookies de sesión. Se encontró código destinado a propagarse a los puestos de los técnicos, pero Huntress no lo ha visto funcionar. Unos 400 entornos de socios tenían instalada una extensión de la familia RMM+; ConnectWise subraya que eso, por sí solo, no implica un compromiso.

Qué hacer ahora

1. Desactive las extensiones Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link y RMM+ Password Link. ConnectWise lo ha hecho en la nube; en los servidores locales le corresponde al administrador.
2. Actualice los clientes de técnico a 26.6.5 o posterior, que bloquean la técnica de propagación (CVE-2026-84869). Actualizar la consola en la nube no los actualiza.
3. Revoque todas las sesiones web de ScreenConnect y las del proveedor de identidad, restablezca las credenciales e imponga MFA: cambiar una contraseña no cierra las sesiones abiertas.
4. Busque rastros: comandos Run Command que usted no lanzó, un segundo cliente ScreenConnect, la tarea TrapWatch, la carpeta RelayTrap, conexiones a 185.99.255[.]28 o 155.94.150[.]39.
5. No examine un equipo sospechoso a través de ScreenConnect: use otro canal, como aconseja Huntress.
6. Si un proveedor gestiona sus equipos, pregúntele por escrito si usa estas extensiones y qué ha comprobado.

Nuestra opinión

Un complemento instalado en una consola de gestión remota hereda su poder sobre todas las máquinas gestionadas y merece la misma vigilancia que la propia consola. Mantenga un inventario de las extensiones, elimine las que no use y no deje nunca un secreto por defecto.

Fuentes

• ConnectWise Trust Center — ScreenConnect security advisory: precautionary extension disabling and partner guidance
• ConnectWise Advisories (GitHub) — CVE-2026-127063
• Huntress — SCKit worm and rogue ScreenConnect clients
• The Record — ConnectWise investigates ScreenConnect breaches after reports of incidents at nearly 50 organizations

Cómo elegimos, verificamos y redactamos nuestros análisis →