Alerta de Seguridad: ConnectWise ScreenConnect - ejecución de archivos sin autorización (CVE-2026-84869)

// resumen_ejecutivo

CVE-2026-84869 (CVSS 9.9): falla crítica en el cliente de ConnectWise ScreenConnect permite transferir y ejecutar archivos vía sesiones remotas activas sin autorización. En CISA KEV, explotada activamente. Parche: 26.6.5. Límite FCEB: 14-09-2026.

// descripcion_detallada

CVE-2026-84869 es una vulnerabilidad crítica (CVSS 9.9) en el cliente de ConnectWise ScreenConnect, incorporada al catálogo CISA KEV el 11 de septiembre de 2026 por encontrarse bajo explotación activa. Combina una gestión inadecuada de privilegios (CWE-269) y ausencia de autorización (CWE-862), permitiendo a un atacante transferir y ejecutar archivos a través de una sesión remota activa sin autorización ni confirmación del host.

El vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H indica explotación por red, baja complejidad, sin interacción del usuario y con cambio de alcance (scope changed), con impacto alto en confidencialidad, integridad y disponibilidad. Al tratarse de una herramienta RMM, un compromiso tiene efecto multiplicador sobre todos los endpoints gestionados. Los servidores de ScreenConnect no están afectados; el defecto reside en el cliente.

// vectores_de_ataque

Explotación por red (AV:N), no autenticada de facto / privilegios mínimos (PR:L), sin interacción del usuario (UI:N). Transferencia y ejecución de archivos arbitrarios (RCE) a través de sesiones remotas activas del cliente ScreenConnect, con cambio de alcance (scope changed) e impacto alto en C/I/A.

// versiones_afectadas

ConnectWise ScreenConnect (cliente) en todas las versiones anteriores a 26.6.5. Servidores no afectados.

// indicadores_de_compromiso 1 tipo

CVEs (1)

CVE-2026-84869

// recomendaciones_de_mitigacion

Actualizar a ScreenConnect 26.6.5 de inmediato (parche que corrige la falla). Fecha límite FCEB de CISA: 14 de septiembre de 2026.
Cloud: sin acción sobre el servidor; reinstalar host clients y actualizar access agents tras la actualización.
On-Premise: actualizar desde el portal de descargas de ScreenConnect (requiere licencia de mantenimiento vigente).
Mitigación temporal: deshabilitar el permiso TransferFiles en cada rol/grupo de sesión (Administration > Security > Roles). No sustituye al parche.
Aplicar la directiva CISA BOD 26-04 y revisar sesiones remotas en busca de transferencias/ejecuciones anómalas.