ScreenConnectにCVSS 9.9の権限不備の脆弱性、悪用を確認 — CISAがKEVに登録、オンプレミス利用者は26.6.5への更新を

要点

• ConnectWiseは2026年9月8日、リモートアクセスツールScreenConnectのセキュリティ更新26.6.5を公開し、脆弱性CVE-2026-84869を修正した。重要度は同社の4段階で上から2番目の「Important」、優先度は最上位の「Priority 1 – High」（実際に狙われているか狙われる危険が高い）と位置付けられている。
• この脆弱性は、有効なリモートセッションを通じて、承認やホスト側の確認なしにファイルの転送と実行が可能になる状態だった。米国土安全保障省傘下のCISAは2026年9月11日、実際に悪用されている証拠に基づき既知の悪用脆弱性カタログ（KEV）に登録した。
• ScreenConnectは企業のIT管理や保守事業者（MSP）が遠隔サポートに使う製品で、ファイル転送機能の悪用はマルウェアの配布や侵入の拡大につながる。オンプレミスで運用している組織は26.6.5への更新が必要だ。クラウド版の利用者に作業は不要とされている。

脆弱性の内容 — セッション中のファイル転送・実行の認証欠落

ConnectWiseの発表によると、CVE-2026-84869はScreenConnectクライアントのファイル転送・ファイル実行の処理における**認証の欠落（CWE-862）と権限管理の不備（CWE-269）に起因する。共通脆弱性評価の基本値はCVSS 9.9（ベクター AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）**で、ネットワーク経由で低い権限から利用者操作なしに悪用でき、影響が他の範囲に及ぶ評価となっている。

影響を受けるのは26.6.5より前のScreenConnectで、修正版の26.6.5ではクライアントとセッション処理が強化された。ScreenConnectのサーバ自体への影響はないと同社は説明している。脆弱性の詳細は性質上これ以上公開しないとしており、技術的な再現情報は出ていない。

なお、同社はこの2件の脆弱性を社内で発見し、発表時点では野外での悪用は確認されていないとしていた。その後の9月11日にCISAが実悪用の証拠に基づきKEVへ登録したことで、遅くとも9月11日時点で実際の攻撃に使われていることが公的に裏付けられた形だ。

CISAがKEVに登録 — 連邦機関は優先的是正の対象に

CISAは2026年9月11日の注意喚起で、CVE-2026-84869を含む3件をKEVカタログに追加した。同時に登録された残り2件はJFrog ArtifactoryのCVE-2026-42016とCVE-2026-42018である。CISAはKEV登録脆弱性について米連邦機関に迅速な是正の優先付けを求めており、民間組織にも同様の対応が推奨される枠組みとなっている。

対応 — ConnectWiseが示す更新と一時的な緩和策

ConnectWiseが公表している対応は以下の通り。対策は同社の発表内容に限定して記載する。

• クラウド版：利用者側の作業は不要。ただし更新後はホストクライアントを再インストールし、アクセスエージェントを更新すること。
• オンプレミス版：ScreenConnect 26.6.5へ更新すること。保守契約が失効している場合は先にライセンスを更新する必要がある。Automateと連携したオンプレミス環境はAutomateの製品更新ページから26.6.5を適用できる。
• すぐに更新できない場合の一時的な緩和策（更新の代替にはならない）：管理画面の「Administration」→「Security」→「Roles」で各ロールを開き、セッショングループに割り当てられた権限から**「TransferFiles」の選択を外して保存**する。これを全ロールに繰り返す。なお、ローカル管理のSpark Firewall製品にはこの緩和策は適用されないとしている。
• 侵害の疑いがある場合：確立されたインシデント対応手順に従い、影響を受けたサーバを隔離して後の分析用にバックアップを作成し、十分な調査・再構築・更新を終えるまで復帰させないこと。同社はパスワードのリセットや監査ログの確認などを含むセキュリティチェックリストの参照も案内している。

日本の利用者への影響

ScreenConnectは日本でもシステム管理や保守受託の現場で使われているリモートアクセス基盤の一つである。今回の不備はサーバの直接侵害ではなく正規セッションに紛れ込む形でのファイル転送・実行という点が特徴で、サポート業務の通信に紛れてマルウェアが持ち込まれる恐れがある。オンプレミスでScreenConnectを運用している組織は、バージョンの確認と26.6.5への更新、更新までの間のTransferFiles権限の見直しを検討する必要がある。クラウド版の利用者は、ホストクライアントとアクセスエージェントが最新化されているかを確認することが求められる。

出典

• ConnectWise, “2026-09-08 ScreenConnect Bulletin”（CVE-2026-84869、26.6.5での修正、CVSS 9.9、緩和策を公表）: https://www.connectwise.com/company/trust/security-bulletins/2026-09-08-screenconnect-bulletin
• CISA, “CISA Adds Three Known Exploited Vulnerabilities to Catalog”（2026年9月11日、CVE-2026-84869のKEV登録）: https://www.cisa.gov/news-events/alerts/2026/09/11/cisa-adds-three-known-exploited-vulnerabilities-catalog