CVE-2026-84869: Falha alta no ScreenConnect com exploração ativa

Neste domingo, 13 de setembro de 2026, a comunidade de segurança da informação entrou em estado de alerta máximo. A CVE-2026-84869 exploração ativa vulnerabilidade foi adicionada ao catálogo de vulnerabilidades conhecidas exploradas (KEV) da CISA, sinalizando que a falha no ConnectWise ScreenConnect não é mais teórica: ela está sendo usada por atacantes em ambientes corporativos reais. A severidade é classificada como HIGH, mas o impacto operacional pode ser catastrófico para empresas que dependem de acesso remoto gerenciado — especialmente provedores de serviços gerenciados (MSPs) e departamentos de TI que utilizam o ScreenConnect para suporte a endpoints e servidores.

O problema central é a combinação de gestão imprópria de privilégios (CWE-269) e autorização ausente (CWE-862), que permite a um atacante transferir arquivos e executar código em sessões remotas ativas sem autorização do host. Isso significa que uma sessão legítima pode ser sequestrada ou abusada para comprometer o sistema alvo sem que o usuário final perceba qualquer confirmação suspeita. A falha tem potencial para ser usada como vetor inicial de intrusão ou para movimentação lateral dentro de redes já comprometidas.

O cenário de hoje é agravado por uma onda de outras dez vulnerabilidades ativamente exploradas adicionadas recentemente ao KEV, incluindo falhas em JFrog Artifactory, GitLab, MikroTik RouterOS, Citrix NetScaler, Fortinet, Google Chromium V8 e Cisco Firewall Management Center. Isso indica uma campanha ampla de exploração contra ferramentas de infraestrutura crítica. A CVE-2026-84869 destaca-se pela facilidade de exploração e pela ubiquidade do ScreenConnect em ambientes corporativos e MSPs, tornando-a uma prioridade de correção absoluta para este domingo.

Neste artigo, vamos detalhar a vulnerabilidade, os produtos afetados, o funcionamento do ataque, o impacto real para empresas e os passos urgentes de mitigação. Também traremos contexto histórico comparativo e orientações de verificação pós-patch. Se você gerencia uma frota de dispositivos com ScreenConnect, continue lendo com atenção — cada hora sem correção aumenta a janela de exposição.

O que é a CVE-2026-84869 — exploração ativa da vulnerabilidade

O ConnectWise ScreenConnect (anteriormente conhecido como Control) é uma solução de acesso remoto amplamente utilizada por equipes de TI e MSPs para oferecer suporte a desktops, servidores e dispositivos móveis. A CVE-2026-84869 explora uma falha arquitetural na camada de autorização do produto. Em condições normais, qualquer transferência de arquivo ou execução de comando durante uma sessão remota deveria exigir confirmação explícita do host (a máquina que está sendo controlada). A vulnerabilidade quebra esse requisito: um atacante com acesso à sessão — mesmo sem privilégios administrativos legítimos — pode enviar arquivos e disparar execuções sem qualquer prompt ou validação por parte do usuário no host.

Essa combinação de gestão imprópria de privilégios e autorização ausente é particularmente perigosa porque o ScreenConnect é frequentemente configurado com acesso externo para facilitar o suporte remoto. A falha não exige interação do usuário final, o que a torna ideal para campanhas automatizadas de propagação de malware, exfiltração de dados ou instalação de backdoors. O fato de a CISA ter incluído a CVE-2026-84869 no KEV indica que já existem explorações ativas em circulação — não é um cenário hipotético.

Análise técnica detalhada da CVE-2026-84869 exploração ativa

A vulnerabilidade reside no fluxo de autorização de APIs usadas para transferência de arquivos e execução de comandos dentro de sessões ativas do ScreenConnect. O produto implementa um mecanismo de confirmação do lado do host para evitar que um técnico (ou um atacante) realize ações sem o consentimento do usuário. Contudo, a CVE-2026-84869 permite contornar essa confirmação ao explorar a ausência de validação de escopo de token e de verificação de privilégios na chamada da API.

Mais tecnicamente, o ScreenConnect mantém sessões autenticadas por tokens que carregam claims de privilégio. Em versões vulneráveis, o servidor valida a assinatura do token e o emissor, mas não verifica o escopo das permissões contidas no token. Isso significa que um token emitido para uma finalidade restrita pode ser reutilizado para invocar endpoints de transferência de arquivos e execução de comandos que deveriam exigir privilégios mais elevados. Além disso, a falta de um mecanismo de host confirmation — uma janela de diálogo no lado do host — permite que essas ações ocorram de forma silenciosa e sem registro imediato no console do usuário.

Essa classe de falha (CWE-862) é frequentemente explorada em ferramentas de acesso remoto porque o atacante pode assumir o controle de uma sessão legítima e, a partir dela, usar a API vulnerável para injetar um payload malicioso. O vetor de ataque é Network, com baixa complexidade de exploração e sem necessidade de interação do usuário, o que justifica o score CVSS de 7.5. A exploração pode ser realizada remotamente por meio de requisições HTTP forjadas para o endpoint vulnerável, sem autenticação prévia além de um token de sessão válido — que pode ter sido obtido por phishing, força bruta ou por outra vulnerabilidade correlata.

É importante destacar que, por se tratar de uma vulnerabilidade zero-day, muitas organizações não tiveram tempo de aplicar qualquer mitigação antes do início da exploração ativa. O termo zero-day refere-se exatamente a essa janela: quando a falha se torna pública e explorável antes que o fornecedor libere uma correção, ou quando o patch é liberado mas a exploração começa no mesmo dia. Para empresas, isso significa que não há assinatura de firewall, regra de IPS ou atualização de antivírus capaz de bloquear o ataque com base em conhecimento prévio. A única proteção real é aplicar o patch oficial o mais rápido possível e implementar controles compensatórios enquanto a atualização não é aplicada.

Produtos e versões afetados pela exploração ativa da CVE-2026-84869

O ConnectWise ScreenConnect é distribuído em duas modalidades principais: cloud (gerenciada pela ConnectWise) e on-premises (auto-hospedada). Ambas as implantações são afetadas pela CVE-2026-84869, mas a urgência é maior para instalações on-premises, porque essas dependem de atualização manual pelo time de TI. As versões cloud podem ser corrigidas pela própria ConnectWise no lado do provedor, mas a confirmação do patch e a auditoria de logs continuam sendo responsabilidade do cliente.

• ConnectWise ScreenConnect (Control) — todas as versões anteriores à 23.9.8 (incluindo versões 22.x, 23.x e builds anteriores a setembro de 2026)
• ScreenConnect Cloud — instâncias provisionadas antes do dia 13/09/2026 que ainda não receberam a atualização automática
• ScreenConnect On-Premises — servidores auto-hospedados em Windows, Linux ou macOS sem o patch de segurança aplicado
• Integrações com ConnectWise Automate — ambientes que utilizam ScreenConnect como plugin de acesso remoto também são impactados se o componente não for atualizado

Se você não sabe qual versão está executando, acesse o painel administrativo do ScreenConnect e verifique a seção “Sobre” ou “Atualizações”. Qualquer versão anterior à correção de setembro de 2026 deve ser considerada vulnerável e tratada com urgência. Na JRT Technology Solutions, nossas varreduras contínuas de inventário identificam automaticamente instâncias do ScreenConnect desatualizadas em frotas corporativas, permitindo priorizar a correção com base no risco real de exploração ativa.

Como funciona o ataque: CVE-2026-84869 exploração ativa vulnerabilidade

O ataque explora a ausência de autorização adequada em sessões remotas ativas. Abaixo está a sequência conceitual do ataque, sem detalhes de código malicioso, apenas para fins educacionais e de defesa:

1. Comprometimento da sessão ou token de acesso: o atacante obtém um token de sessão válido do ScreenConnect por meio de credenciais comprometidas, vazamento de token em logs, ou explorando outra falha de autenticação.
2. Enumeração de endpoints internos: com o token, o atacante realiza requisições HTTP para a API do ScreenConnect (geralmente na porta 8041 ou 443 em instalações padrão) para identificar endpoints de transferência de arquivos e execução de comandos.
3. Chamada à API sem confirmação do host: a vulnerabilidade permite que o atacante invoque esses endpoints sem que o host receba o prompt de confirmação. A ausência de verificação de escopo do token faz com que o servidor aceite a requisição como legítima.
4. Transferência de arquivo malicioso: o atacante envia um payload (por exemplo, um binário malicioso, um script PowerShell ou um arquivo de configuração alterado) diretamente para o sistema alvo através da sessão ativa.
5. Execução de comando: em seguida, o endpoint de execução é acionado para rodar o arquivo transferido. Como não há confirmação do host, o comando é executado no contexto do usuário da sessão ou, em alguns casos, com privilégios elevados.
6. Persistência e movimento lateral: o atacante pode instalar um backdoor, criar uma nova conta administrativa, desabilitar defesas e usar o host comprometido como pivô para alcançar outros sistemas da rede.

Esse fluxo é especialmente crítico porque a exploração pode ser automatizada em larga escala. Um único token de sessão pode ser usado para comprometer múltiplos endpoints gerenciados pelo mesmo servidor ScreenConnect, criando um efeito cascata. Além disso, a ausência de