{"id":2849,"date":"2026-09-13T09:21:32","date_gmt":"2026-09-13T12:21:32","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/09\/13\/cve-2026-84869-falha-alta-no-screenconnect-com-exploracao-at\/"},"modified":"2026-09-13T09:21:32","modified_gmt":"2026-09-13T12:21:32","slug":"cve-2026-84869-falha-alta-no-screenconnect-com-exploracao-at","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/09\/13\/cve-2026-84869-falha-alta-no-screenconnect-com-exploracao-at\/","title":{"rendered":"CVE-2026-84869: Falha alta no ScreenConnect com explora\u00e7\u00e3o ativa"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

Neste domingo, 13 de setembro de 2026, a comunidade de seguran\u00e7a da informa\u00e7\u00e3o entrou em estado de alerta m\u00e1ximo. A CVE-2026-84869 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> foi adicionada ao cat\u00e1logo de vulnerabilidades conhecidas exploradas (KEV) da CISA, sinalizando que a falha no ConnectWise ScreenConnect<\/strong> n\u00e3o \u00e9 mais te\u00f3rica: ela est\u00e1 sendo usada por atacantes em ambientes corporativos reais. A severidade \u00e9 classificada como HIGH<\/strong>, mas o impacto operacional pode ser catastr\u00f3fico para empresas que dependem de acesso remoto gerenciado \u2014 especialmente provedores de servi\u00e7os gerenciados (MSPs) e departamentos de TI que utilizam o ScreenConnect para suporte a endpoints e servidores.<\/p>\n

O problema central \u00e9 a combina\u00e7\u00e3o de gest\u00e3o impr\u00f3pria de privil\u00e9gios (CWE-269)<\/strong> e autoriza\u00e7\u00e3o ausente (CWE-862)<\/strong>, que permite a um atacante transferir arquivos e executar c\u00f3digo em sess\u00f5es remotas ativas sem autoriza\u00e7\u00e3o do host. Isso significa que uma sess\u00e3o leg\u00edtima pode ser sequestrada ou abusada para comprometer o sistema alvo sem que o usu\u00e1rio final perceba qualquer confirma\u00e7\u00e3o suspeita. A falha tem potencial para ser usada como vetor inicial de intrus\u00e3o ou para movimenta\u00e7\u00e3o lateral dentro de redes j\u00e1 comprometidas.<\/p>\n

O cen\u00e1rio de hoje \u00e9 agravado por uma onda de outras dez vulnerabilidades ativamente exploradas<\/strong> adicionadas recentemente ao KEV, incluindo falhas em JFrog Artifactory<\/strong>, GitLab<\/strong>, MikroTik RouterOS<\/strong>, Citrix NetScaler<\/strong>, Fortinet<\/strong>, Google Chromium V8<\/strong> e Cisco Firewall Management Center<\/strong>. Isso indica uma campanha ampla de explora\u00e7\u00e3o contra ferramentas de infraestrutura cr\u00edtica. A CVE-2026-84869<\/strong> destaca-se pela facilidade de explora\u00e7\u00e3o e pela ubiquidade do ScreenConnect em ambientes corporativos e MSPs, tornando-a uma prioridade de corre\u00e7\u00e3o absoluta para este domingo.<\/p>\n

Neste artigo, vamos detalhar a vulnerabilidade, os produtos afetados, o funcionamento do ataque, o impacto real para empresas e os passos urgentes de mitiga\u00e7\u00e3o. Tamb\u00e9m traremos contexto hist\u00f3rico comparativo e orienta\u00e7\u00f5es de verifica\u00e7\u00e3o p\u00f3s-patch. Se voc\u00ea gerencia uma frota de dispositivos com ScreenConnect, continue lendo com aten\u00e7\u00e3o \u2014 cada hora sem corre\u00e7\u00e3o aumenta a janela de exposi\u00e7\u00e3o.<\/p>\n

O que \u00e9 a CVE-2026-84869 \u2014 explora\u00e7\u00e3o ativa da vulnerabilidade<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-84869<\/td>\n<\/tr>\n
CVSS Score<\/td>\n7.5 \u2014 HIGH<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nConnectWise ScreenConnect (vers\u00f5es anteriores \u00e0 corre\u00e7\u00e3o de setembro de 2026, incluindo instala\u00e7\u00f5es on-premises e cloud)<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-269 (Improper Privilege Management) e CWE-862 (Missing Authorization)<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n13\/09\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 atualiza\u00e7\u00e3o de seguran\u00e7a liberada pela ConnectWise; aplicar imediatamente<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

O ConnectWise ScreenConnect<\/strong> (anteriormente conhecido como Control) \u00e9 uma solu\u00e7\u00e3o de acesso remoto amplamente utilizada por equipes de TI e MSPs para oferecer suporte a desktops, servidores e dispositivos m\u00f3veis. A CVE-2026-84869<\/strong> explora uma falha arquitetural na camada de autoriza\u00e7\u00e3o do produto. Em condi\u00e7\u00f5es normais, qualquer transfer\u00eancia de arquivo ou execu\u00e7\u00e3o de comando durante uma sess\u00e3o remota deveria exigir confirma\u00e7\u00e3o expl\u00edcita do host (a m\u00e1quina que est\u00e1 sendo controlada). A vulnerabilidade quebra esse requisito: um atacante com acesso \u00e0 sess\u00e3o \u2014 mesmo sem privil\u00e9gios administrativos leg\u00edtimos \u2014 pode enviar arquivos e disparar execu\u00e7\u00f5es sem qualquer prompt ou valida\u00e7\u00e3o por parte do usu\u00e1rio no host.<\/p>\n

Essa combina\u00e7\u00e3o de gest\u00e3o impr\u00f3pria de privil\u00e9gios<\/strong> e autoriza\u00e7\u00e3o ausente<\/strong> \u00e9 particularmente perigosa porque o ScreenConnect \u00e9 frequentemente configurado com acesso externo para facilitar o suporte remoto. A falha n\u00e3o exige intera\u00e7\u00e3o do usu\u00e1rio final, o que a torna ideal para campanhas automatizadas de propaga\u00e7\u00e3o de malware, exfiltra\u00e7\u00e3o de dados ou instala\u00e7\u00e3o de backdoors. O fato de a CISA ter inclu\u00eddo a CVE-2026-84869<\/strong> no KEV indica que j\u00e1 existem explora\u00e7\u00f5es ativas em circula\u00e7\u00e3o \u2014 n\u00e3o \u00e9 um cen\u00e1rio hipot\u00e9tico.<\/p>\n

An\u00e1lise t\u00e9cnica detalhada da CVE-2026-84869 explora\u00e7\u00e3o ativa<\/h3>\n

A vulnerabilidade reside no fluxo de autoriza\u00e7\u00e3o de APIs usadas para transfer\u00eancia de arquivos e execu\u00e7\u00e3o de comandos dentro de sess\u00f5es ativas do ScreenConnect. O produto implementa um mecanismo de confirma\u00e7\u00e3o do lado do host para evitar que um t\u00e9cnico (ou um atacante) realize a\u00e7\u00f5es sem o consentimento do usu\u00e1rio. Contudo, a CVE-2026-84869<\/strong> permite contornar essa confirma\u00e7\u00e3o ao explorar a aus\u00eancia de valida\u00e7\u00e3o de escopo de token e de verifica\u00e7\u00e3o de privil\u00e9gios na chamada da API.<\/p>\n

Mais tecnicamente, o ScreenConnect mant\u00e9m sess\u00f5es autenticadas por tokens que carregam claims de privil\u00e9gio. Em vers\u00f5es vulner\u00e1veis, o servidor valida a assinatura do token e o emissor, mas n\u00e3o verifica o escopo<\/strong> das permiss\u00f5es contidas no token. Isso significa que um token emitido para uma finalidade restrita pode ser reutilizado para invocar endpoints de transfer\u00eancia de arquivos e execu\u00e7\u00e3o de comandos que deveriam exigir privil\u00e9gios mais elevados. Al\u00e9m disso, a falta de um mecanismo de host confirmation<\/strong> \u2014 uma janela de di\u00e1logo no lado do host \u2014 permite que essas a\u00e7\u00f5es ocorram de forma silenciosa e sem registro imediato no console do usu\u00e1rio.<\/p>\n

Essa classe de falha (CWE-862) \u00e9 frequentemente explorada em ferramentas de acesso remoto porque o atacante pode assumir o controle de uma sess\u00e3o leg\u00edtima e, a partir dela, usar a API vulner\u00e1vel para injetar um payload malicioso. O vetor de ataque \u00e9 Network<\/strong>, com baixa complexidade de explora\u00e7\u00e3o e sem necessidade de intera\u00e7\u00e3o do usu\u00e1rio, o que justifica o score CVSS de 7.5. A explora\u00e7\u00e3o pode ser realizada remotamente por meio de requisi\u00e7\u00f5es HTTP forjadas para o endpoint vulner\u00e1vel, sem autentica\u00e7\u00e3o pr\u00e9via al\u00e9m de um token de sess\u00e3o v\u00e1lido \u2014 que pode ter sido obtido por phishing, for\u00e7a bruta ou por outra vulnerabilidade correlata.<\/p>\n

\u00c9 importante destacar que, por se tratar de uma vulnerabilidade zero-day<\/strong>, muitas organiza\u00e7\u00f5es n\u00e3o tiveram tempo de aplicar qualquer mitiga\u00e7\u00e3o antes do in\u00edcio da explora\u00e7\u00e3o ativa. O termo zero-day refere-se exatamente a essa janela: quando a falha se torna p\u00fablica e explor\u00e1vel antes que o fornecedor libere uma corre\u00e7\u00e3o, ou quando o patch \u00e9 liberado mas a explora\u00e7\u00e3o come\u00e7a no mesmo dia. Para empresas, isso significa que n\u00e3o h\u00e1 assinatura de firewall, regra de IPS ou atualiza\u00e7\u00e3o de antiv\u00edrus capaz de bloquear o ataque com base em conhecimento pr\u00e9vio. A \u00fanica prote\u00e7\u00e3o real \u00e9 aplicar o patch oficial o mais r\u00e1pido poss\u00edvel e implementar controles compensat\u00f3rios enquanto a atualiza\u00e7\u00e3o n\u00e3o \u00e9 aplicada.<\/p>\n

Produtos e vers\u00f5es afetados pela explora\u00e7\u00e3o ativa da CVE-2026-84869<\/h3>\n

O ConnectWise ScreenConnect<\/strong> \u00e9 distribu\u00eddo em duas modalidades principais: cloud<\/strong> (gerenciada pela ConnectWise) e on-premises<\/strong> (auto-hospedada). Ambas as implanta\u00e7\u00f5es s\u00e3o afetadas pela CVE-2026-84869<\/strong>, mas a urg\u00eancia \u00e9 maior para instala\u00e7\u00f5es on-premises, porque essas dependem de atualiza\u00e7\u00e3o manual pelo time de TI. As vers\u00f5es cloud podem ser corrigidas pela pr\u00f3pria ConnectWise no lado do provedor, mas a confirma\u00e7\u00e3o do patch e a auditoria de logs continuam sendo responsabilidade do cliente.<\/p>\n