ConnectWiseがScreenConnectのファイル転送に関する問題を公表 — 修正版は週内公開予定、当面は転送権限の無効化で緩和を

リモートアクセス製品「ScreenConnect Remote Access」に、ファイル転送の挙動に関する問題が見つかり、開発元のConnectWiseは2026年9月3日、セキュリティアドバイザリを公開した。サポートセッションとアクセスセッションの双方が対象で、クラウド版とオンプレミス版のいずれの導入形態にも影響する。CVE番号と正式な修正版は週内に公開される予定で、それまでの間は設定変更による緩和策でリスクを下げられると同社は説明している。

影響を受ける製品 — クラウド版とオンプレミス版の双方

ConnectWiseのアドバイザリによると、対象製品は「CW Remote Access」（サポートセッションとアクセスセッション）で、導入形態はクラウド版とオンプレミス版の双方が含まれる。修正版は現在開発中で、暫定の緩和策が利用可能という位置づけだ。

同社はこの問題に対するCVE番号を、クラウド環境への展開に続いて発行するとしている。また、根本的な挙動を修正するパッチ版のリリースと、このページでのガイダンス更新を予定している。

ConnectWiseが示す暫定の緩和策 — 転送権限の無効化

正式な修正版が出るまでの間、ConnectWiseはパートナー（利用者）に対し、技術者がファイルを転送できる権限を無効化することでリスクを低減できると説明している。具体的な手順は以下の通りだ。

1. ScreenConnectの管理（Administration）ページにログインする
2. 「Administration」→「Security」→「Roles」（ロール）を開く
3. 利用者に割り当てているロールを編集する
4. 権限が割り当てられたセッショングループ（太字で表示される）を確認する
5. 各セッショングループについて、「Scoped Permissions」画面で「TransferFiles」権限（旧版では「TransferFilesInSession」）の選択を外す
6. 変更を保存し、定義済みの各ロールについて繰り返す

同社は、この設定変更にバージョンアップは不要で、直ちに適用できるとしている。

今後の予定と問い合わせ先

ConnectWiseは今後の対応として、CVE番号の発行、根本原因を解消するパッチ版のリリース、修正版の公開後にこのページのガイダンスを更新することを予告している。支援が必要な利用者は、ConnectWise Homeからサポート案件を開くか、[email protected]宛てに連絡できる。また、新たなセキュリティ上の問題を報告する場合は、Trust Centerまたはパートナー向け情報セキュリティホットライン（1-888-WISE911）を使うよう案内している。

リモートアクセス製品は外部からの接続を受け付ける性質上、脆弱性が侵入の足がかりになり得る。ScreenConnectを利用している管理者は、ConnectWiseが示した転送権限の無効化を適用するとともに、同社のアドバイザリページでCVE番号と修正版の公開を見守り、公開され次第すみやかに更新することが望ましい。