ScreenConnect: תוסף צד שלישי עם סוד ברירת מחדל נוצל להשתלטות על מחשבים מנוהלים

מעקב הסייבר של Top-Secured: ניתוח עצמאי המבוסס על המקורות המפורטים בהמשך. Top-Secured אינה קשורה לחברות המוזכרות ולעולם לא תבקש מכם פרטי בנק או סיסמאות.

‏ConnectWise חוקרת גישה לא מורשית לסביבות ScreenConnect של שותפים, ומקשרת אותה ל-RMM+, תוסף של צד שלישי שה-API שלו מקבל סוד ברירת מחדל (CVE-2026-127063, ‏CVSS 9.3). התוספים הושבתו בענן; בשרתים מקומיים האחריות על מנהלי המערכת.

מה קרה

ב-11 בנובמבר 2026 הודיעה ConnectWise שתוקפים השיגו גישה לא מורשית לחלק מסביבות ה-ScreenConnect של שותפיה, כלי התמיכה מרחוק הנפוץ אצל ספקי שירותי IT מנוהלים (MSP), והתקינו תוכנות גישה מרחוק לא מורשות על מחשבי הלקוחות שלהם. לפי Huntress, שזיהתה את תחילת הפעילות בסביבות 17:47 ‏UTC, לפחות 288 מחשבים ב-48 ארגונים מלקוחותיה נפגעו בתוך כ-90 דקות.

‏ConnectWise מציינת שאין סימן לפריצה לתשתית שלה ושהגישה הראשונית לא נשענה על חולשה ב-ScreenConnect. הניתוח שלה מצביע על RMM+, תוסף שפותח בידי צד שלישי. ה-API שלו מוגן בסוד קבוע כברירת מחדל: התקנות שהשאירו אותו עלולות לקבל בקשות ללא אימות, כולל פקודות שנשלחות למחשבים המנוהלים. החולשה מסומנת CVE-2026-127063 ‏(CVSS 4.0: ‏9.3) ועדיין אין גרסה מתוקנת.

איך פעלו התוקפים

לפי Huntress, התוקפים השתמשו ביכולת Run Command של ממשקי ScreenConnect המתארחים בענן כדי להריץ פקודות בהרשאות SYSTEM, בלי שום התחברות תואמת ביומנים. הם הפיצו ערכת כלים בשם SCKit, שמתקינה לקוח ScreenConnect נוסף בשליטתם, משימה מתוזמנת בשם TrapWatch ותיקייה בשם RelayTrap תחת ProgramData, ומנסה לגנוב עוגיות סשן. נמצא גם קוד שנועד להתפשט לתחנות של הטכנאים, אך Huntress לא ראתה אותו מצליח. בכ-400 סביבות של שותפים הותקן תוסף ממשפחת RMM+; ‏ConnectWise מדגישה שעובדה זו לבדה אינה מעידה על פריצה.

מה לעשות עכשיו

1. השביתו את התוספים Labtech Plus, ‏RMM Plus, ‏RMM+, ‏RMM Plus Password Link ו-RMM+ Password Link. ‏ConnectWise עשתה זאת בענן; בשרתים מקומיים זו אחריות מנהלי המערכת.
2. עדכנו את לקוחות הטכנאים לגרסה 26.6.5 ומעלה, שחוסמת את טכניקת ההתפשטות (CVE-2026-84869). עדכון ממשק הענן אינו מעדכן אותם.
3. בטלו את כל סשני ה-Web של ScreenConnect וגם את סשני ספק הזהויות, אפסו פרטי גישה ואכפו אימות רב-שלבי: החלפת סיסמה לבדה אינה סוגרת סשנים פתוחים.
4. חפשו עקבות: פקודות Run Command שלא אתם הרצתם, לקוח ScreenConnect נוסף, המשימה TrapWatch, התיקייה RelayTrap, חיבורים אל 185.99.255[.]28 או 155.94.150[.]39.
5. אל תבדקו מחשב חשוד דרך ScreenConnect: השתמשו בערוץ אחר, כהמלצת Huntress.
6. אם ספק מנהל את המחשבים שלכם, שאלו אותו בכתב אם הוא משתמש בתוספים האלה ומה בדק.

הניתוח שלנו

תוסף שמותקן על ממשק ניהול מרחוק יורש את כוחו על כל המכונות המנוהלות, ולכן ראוי לאותה ערנות כמו הממשק עצמו. נהלו מלאי של התוספים המותקנים, הסירו את אלה שאינם בשימוש ולעולם אל תשאירו סוד ברירת מחדל.

מקורות

• ConnectWise Trust Center — ScreenConnect security advisory: precautionary extension disabling and partner guidance
• ConnectWise Advisories (GitHub) — CVE-2026-127063
• Huntress — SCKit worm and rogue ScreenConnect clients
• The Record — ConnectWise investigates ScreenConnect breaches after reports of incidents at nearly 50 organizations

איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←