ScreenConnect corrige CVE-2026-84869, un défaut d’autorisation déjà exploité pendant les sessions actives

8 septembre 2026. ConnectWise publie un bulletin de sécurité et corrige une faille dans ScreenConnect. 11 septembre. La CISA ajoute CVE-2026-84869 à son catalogue KEV, sur la base d’une exploitation active constatée. 14 septembre. La date butoir de remédiation, fixée par la directive BOD 26-04, expire pour les agences fédérales américaines. Pourquoi c’est important : la faille permet de transférer et d’exécuter des fichiers sur un poste pendant une session d’assistance à distance sans confirmation de l’utilisateur — au cœur de l’outil que les MSP utilisent pour administrer des milliers de machines.

Une autorisation manquante dans le client, pas dans le serveur

CVE-2026-84869 est un cas d’école de faiblesse de contrôle d’accès : elle combine un CWE-862 (Missing Authorization) et un CWE-269 (Improper Privilege Management), pour un score CVSS 9.9. Concrètement, un attaquant authentifié avec de faibles privilèges peut contourner les invites de confirmation des opérations sur fichiers. Pendant une session ScreenConnect active, il devient capable de pousser un fichier vers le poste distant et de l’exécuter sans que l’utilisateur côté hôte n’ait à valider quoi que ce soit.

Le point décisif est la localisation de la faille : elle réside dans le client, pas dans le serveur. La correction ne consiste donc pas seulement à mettre à jour l’instance ScreenConnect, mais à réinstaller ou mettre à niveau les clients hôtes et les agents d’accès déployés sur l’ensemble des postes gérés. Un serveur patché qui continue de piloter des clients vulnérables laisse la porte ouverte : la session légitime devient le vecteur de l’attaque.

La version à déployer est la 26.6.5 ou ultérieure. ConnectWise classe la faille en priorité 1 — « High » — soit le niveau qui signale des vulnérabilités déjà ciblées ou à fort risque d’être ciblées par des exploits. Aucun exploit public n’a été documenté au moment du bulletin, mais l’entrée KEV confirme que l’exploitation est réelle, pas théorique.

Pourquoi un outil d’accès distant est une cible à part

ScreenConnect occupe une position singulière dans un réseau : c’est l’infrastructure de confiance par laquelle un prestataire ou une équipe IT accède aux postes. Compromettre cet outil ne donne pas accès à une machine, mais à l’ensemble des systèmes gérés depuis la même console — ce que la littérature désigne comme un risque « one-to-many ». Dans un environnement MSP, une seule instance ScreenConnect compromise peut devenir le point de bascule vers des dizaines, voire des centaines de clients.

Cette mécanique est connue des attaquants. Les outils d’accès distant et de supervision à distance (RMM) figurent parmi les vecteurs les plus exploités de ces dernières années, précisément parce qu’ils offrent un chemin légitime vers l’exécution de code : l’attaquant qui abuse une session active apparaît, dans les journaux, comme de l’activité d’administration normale. La faille de ScreenConnect s’inscrit dans cette lignée, et sa correction illustre la règle qui en découle — un RMM se durcit comme un actif critique, pas comme un outil de confort.

KEV, BOD 26-04 et l’obligation de tri forensic

L’ajout au catalogue KEV de la CISA, le 11 septembre 2026, a deux conséquences opérationnelles distinctes. La première est la date butoir : les agences de la branche exécutive fédérale américaine couvertes par la directive BOD 26-04 devaient remédier avant le 14 septembre 2026. La seconde, moins visible, est l’obligation de tri forensic : la CISA signale explicitement que patcher ne suffit pas, et que l’organisation doit rechercher des signes de compromission.

Cette exigence se traduit par une liste de contrôles concrets, que tout exploitant — pas seulement fédéral — a intérêt à suivre. Déterminer si l’instance ScreenConnect était exposée sur Internet, identifier les hôtes et sessions potentiellement touchés, examiner les journaux de transfert de fichiers et d’exécution de processus pour repérer une activité anormale, et passer en revue les comptes administratifs ainsi que les sessions actives et historiques. En cas de suspicion, la réinitialisation des identifiants et l’invalidation des jetons de session s’imposent.

Ce que doit faire un exploitant

La réponse se décline en quatre actions ordonnées, la première étant la seule à couper le vecteur à la racine.

• Mettez le client à niveau vers la version 26.6.5 ou ultérieure, puis réinstallez ou mettez à niveau les clients hôtes et les agents d’accès sur tous les postes gérés. Un serveur patché ne protège pas des clients vulnérables.
• Restreignez l’accès réseau à l’instance ScreenConnect aux sous-réseaux de gestion de confiance. Une faille d’autorisation n’est exploitable que si l’attaquant peut atteindre la session ; la segmentation réduit cette surface.
• Auditez les journaux : transferts de fichiers inattendus, processus enfants lancés via ScreenConnect, connexions sortantes depuis les hôtes du service, comptes créés ou modifiés récemment. La CISA recommande d’examiner les sessions actives et historiques.
• Traitez la compromission comme possible, pas comme avérée. L’absence d’exploit public ne signifie pas l’absence d’exploitation ; l’entrée KEV dit le contraire. Pivotez les secrets et révoquez les jetons au moindre doute.

La faille CVE-2026-84869 rejoint une série déjà longue de vulnérabilités dans les outils d’accès distant — de N-able N-central à MikroTik RouterOS, la CISA a ajouté six failles au catalogue KEV entre le 10 et le 11 septembre 2026 seulement, touchant aussi GitLab et JFrog Artifactory. Le message de fond est le même pour toutes : la périphérie de gestion est devenue le terrain de chasse privilégié des attaquants, et le correctif d’un RMM ne peut plus attendre le cycle de patch mensuel.

Verdict

CVE-2026-84869 est la démonstration la plus directe, cette semaine, qu’un outil d’accès distant se corrige comme un actif critique et s’audite comme une surface d’attaque. Si vous exploitez ScreenConnect, la priorité absolue est la 26.6.5 sur les serveurs et les clients, suivie d’un audit des transferts de fichiers ; ne vous arrêtez pas au serveur, c’est le client qui est vulnérable. Si vous êtes MSP, considérez que chaque client géré hérite du risque de votre console : documentez la segmentation, limitez l’exposition Internet et tenez un registre des versions déployées. Si vous n’exposez pas votre RMM sur Internet, vous avez déjà fait le choix le plus rentable — la faille exige une session active pour être exploitée, et un outil cantonné à un sous-réseau de gestion est hors d’atteinte de la plupart des attaquants.

Références

• ConnectWise — Security Bulletin, ScreenConnect, 8 septembre 2026
• CISA — Known Exploited Vulnerabilities Catalog, CVE-2026-84869
• Cyber Security News — CISA Warns of Critical ScreenConnect Vulnerability Actively Exploited in Attacks, 16 septembre 2026
• CVE Brief — CVE-2026-84869 · ConnectWise · CVSS 9.5 · CISA KEV
• NHS England — ConnectWise Releases Security Update for ScreenConnect (CC-4848)
• ETTAYEB — La CISA ajoute des failles Langflow, N-central et Tomcat au catalogue KEV