CISA が定めた ScreenConnect の期限は2日前に切れた。1000台超が今も晒されている

CISA は米連邦政府機関に対し、ConnectWise ScreenConnect の CVE-2026-84869 を3日以内に修正するよう命じた。その期限は9月14日に切れている。それから2日が経った現在も、Shadowserver Foundation は未修正のままインターネットに露出している ScreenConnect インスタンスを1000台以上数えており、うち758台が北米、180台が欧州にある。パッチは今月初めから提供されている。攻撃は8月下旬から続いている。

この二つの事実のあいだにある隔たりこそが、この記事の主題だ。これは兵器化を待っている脆弱性ではない。先に兵器化され、あとからカタログに登録された。そして動いていない層こそ、もとより狙われる層である。

何が問題なのか

CVE-2026-84869 の CVSS スコアは 9.9。ConnectWise はこれを、特定の条件下において、認可や Host 側の確認を経ずに、アクティブなリモートセッションを通じてファイルが転送・実行されうる ScreenConnect クライアントの状態だと説明している。CISA のカタログ項目では、不適切な権限管理および認可の欠落に分類されている。

数値よりも、この表現のほうが重要だ。これはメモリ破壊のバグではない。何かがオーバーフローしたり破壊されたりしているわけではない。ソフトウェアは設計どおりの動作——リモートセッション越しにファイルを渡して実行する——をしており、ただそれが許可された操作かどうかを確認していないだけである。攻撃の複雑さは低く、利用者の操作も不要で、それがスコアを最上位まで押し上げている。

修正内容についての ConnectWise 自身の説明は、狭く、そして正確だ。

ScreenConnect 26.6.5 のパッチには、ファイル転送およびファイル実行操作におけるクライアントとセッションの取り扱いを強化する更新が含まれています。

パッチ提供前、同社が暫定策として示していたのは TransferFiles 権限を無効化することだった。機能そのものが露出面であったことを、事実上認めた形になる。

カタログより先に、攻撃キャンペーンが見つけていた

この活動を最初に報告したのは Huntress で、8月下旬、互いに無関係な複数の顧客環境で同一のパターンを確認したことがきっかけだった。SecurityWeek は最初期の活動を8月20日としている。研究者が記述したのは、脆弱なサーバーを探すインターネット全体のスキャンではない。発端はソーシャルエンジニアリングだった。技術サポートを装った詐欺、フィッシング、汚染された検索結果によって、助けられていると信じた利用者の端末に不正な ScreenConnect クライアントを入れさせるところから始まる。

そこから先は脆弱性が仕事をした。不正なクライアントは、同じセッション基盤に接続された他の端末へスクリプトを送り込んで実行し、フィッシングを受けてもいなければ何の落ち度もないホストにまで、ワームのような広がり方をもたらした。

立ち止まって考える価値があるのはここだ。初期侵入はごく平凡で、人間を介したものだった。横展開を担ったのは、他人のコンピューターへの特権的なアクセスを保持することを唯一の存在理由とするツールの、権限まわりのバグである。ConnectWise は10万社を超える IT プロバイダーに利用されているという。マネージドサービスプロバイダーの ScreenConnect 環境とは、構造的に見れば、そのプロバイダーが到達できるすべての端末の一覧だ。その内側での認可の失敗は、1台の侵害では済まない。扇状に広がる。

しかも今回が初めてではない。2024年以降、CISA は ScreenConnect の脆弱性を4件、実際に悪用されているものとして指摘してきた。うち2件はランサムウェアのキャンペーンで悪用され、1件は北朝鮮系の Kimsuky グループによるものだった。リモート監視・管理ソフトウェアは、いまや常設の標的カテゴリである。理由は明白で、侵入者が欲しいまさにその端末群に、あらかじめ導入され、あらかじめ信頼され、あらかじめ認可されているからだ。

防御側がすべきこと

ScreenConnect クライアントを 26.6.5 へ更新すること。直ちに実施できない場合は、ConnectWise が示したとおり TransferFiles 権限を無効化すること。パッチは横展開の経路を塞ぐが、すでに起きたことを取り消しはしない。そして今回、悪用の窓はおよそ4週間の幅で開いていた。

Huntress の指針は、オンプレミスの ScreenConnect 環境はすべて特に入念に点検すべきであり、影響が確認されたホストはその場で駆除するのではなく、信頼できるメディアまたはクリーンな OS インストールから再構築すべきだというものだ。同社が公開した指標は防御目的のもので、直接確認する価値がある。ScreenConnect プロセスから予期せず起動される Windows Script Host、AppData 内のスクリプトファイルを指す不審なユーザー Run キー、ゲストプロセスに帰属するファイル実行操作を示す ScreenConnect の監査ログ項目、そして説明のつかない二次的なリモートアクセスツールが ScreenConnect と並んで導入されていないか。技術的な詳細は ConnectWise の公告と Huntress のレポートにある。

居心地の悪い結論は、ScreenConnect に固有の話ではない。3日間という連邦の時計つきの KEV 登録は、あるソフトウェアについて米政府が発しうるほぼ最大級の警告である。それでも時計が止まったあと、1000台を超えるインスタンスが未修正のままインターネット上に置かれている。勧告の仕組みは機能した。パッチ適用が機能しなかった。

Sources: ConnectWise security bulletin, 8 September 2026 · Huntress: Rogue ScreenConnect Installations Across Unrelated Hosts Suggest Worm-Like Activity · CISA Known Exploited Vulnerabilities Catalog · BleepingComputer: Critical ScreenConnect flaw now actively exploited in attacks · SecurityWeek: ConnectWise Patches ScreenConnect Vulnerability Exploited in Worm-Like Attacks · The Hacker News: CISA Adds 5 Actively Exploited Artifactory, ScreenConnect, and RouterOS Flaws to KEV