ScreenConnect 26.6.5 corrige ejecución de archivos sin autorización del equipo remoto

ConnectWise publicó ScreenConnect 26.6.5 para corregir CVE-2026-84869, una falla de autorización en el cliente de acceso remoto. Bajo determinadas condiciones, un usuario que ya participa en una sesión activa puede transferir y ejecutar archivos en el equipo remoto sin que el host lo autorice o confirme la acción.

El fabricante asignó a la vulnerabilidad una puntuación CVSS 3.1 de 9.9. La condición afecta al cliente y no al servidor de ScreenConnect, pero el proceso de remediación exige actualizar la plataforma y volver a desplegar o actualizar los agentes para que los endpoints reciban el cliente corregido.

ScreenConnect se utiliza para soporte y administración remota, por lo que la capacidad de ejecutar un archivo sin consentimiento del host puede convertir una sesión de acceso limitada en una vía para instalar herramientas, extraer datos o alterar el endpoint. La explotación requiere acceso previo a una sesión y no equivale a un compromiso remoto sin credenciales del servidor.

Las instancias alojadas por ConnectWise fueron actualizadas a la versión 26.6.5. En instalaciones locales, los administradores deben aplicar la actualización y comprobar que los clientes host y los agentes de acceso también quedaron en la versión corregida. Como medida temporal, ConnectWise recomienda retirar el permiso TransferFiles de los roles y grupos de sesión pertinentes.