{"id":2869,"date":"2026-09-14T09:07:52","date_gmt":"2026-09-14T12:07:52","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/09\/14\/cve-2026-84869-exploracao-ativa-vulnerabilidade-no-screencon\/"},"modified":"2026-09-14T09:07:52","modified_gmt":"2026-09-14T12:07:52","slug":"cve-2026-84869-exploracao-ativa-vulnerabilidade-no-screencon","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/09\/14\/cve-2026-84869-exploracao-ativa-vulnerabilidade-no-screencon\/","title":{"rendered":"CVE-2026-84869 Explora\u00e7\u00e3o Ativa \u2014 Vulnerabilidade no ScreenConnect"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

O cen\u00e1rio de amea\u00e7as digitais acaba de ganhar mais um cap\u00edtulo de alt\u00edssima seriedade: a CVE-2026-84869<\/strong>, uma vulnerabilidade catalogada como HIGH<\/strong> e adicionada ao cat\u00e1logo KEV (Known Exploited Vulnerabilities)<\/strong> da CISA, est\u00e1 sendo explorada ativamente contra inst\u00e2ncias do ConnectWise ScreenConnect<\/strong>. A confirma\u00e7\u00e3o de explora\u00e7\u00e3o ativa transforma esta CVE-2026-84869 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> em prioridade m\u00e1xima para equipes de seguran\u00e7a, infraestrutura e opera\u00e7\u00f5es de TI em todo o mundo. N\u00e3o estamos falando de uma amea\u00e7a te\u00f3rica: h\u00e1 atacantes reais comprometendo sess\u00f5es remotas leg\u00edtimas, transferindo arquivos e executando c\u00f3digo sem autoriza\u00e7\u00e3o nem confirma\u00e7\u00e3o do host.<\/p>\n

O agravante desta segunda-feira, 14 de setembro de 2026, \u00e9 a converg\u00eancia de m\u00faltiplas falhas de severidade alta sendo ativamente exploradas simultaneamente. Al\u00e9m da CVE-2026-84869<\/strong> no ScreenConnect, a CISA adicionou hoje ao KEV vulnerabilidades nos produtos JFrog Artifactory<\/strong> (CVE-2026-42016<\/strong> e CVE-2026-42018<\/strong>), GitLab CE\/EE<\/strong> (CVE-2026-85706<\/strong>) e MikroTik RouterOS<\/strong> (CVE-2026-86060<\/strong> e CVE-2026-67277<\/strong>). Esse volume concentrado de adi\u00e7\u00f5es ao KEV \u00e9 um forte indicador de campanhas coordenadas de explora\u00e7\u00e3o, possivelmente conduzidas por grupos de amea\u00e7a que visam fornecedores de software de acesso remoto, reposit\u00f3rios de artefatos e infraestrutura de rede.<\/p>\n

Para empresas e \u00f3rg\u00e3os governamentais, o risco \u00e9 direto e imediato. O ScreenConnect \u00e9 amplamente utilizado por MSPs (Managed Service Providers), equipes de suporte t\u00e9cnico e departamentos de TI para realizar manuten\u00e7\u00e3o remota em milhares de endpoints corporativos. Uma explora\u00e7\u00e3o bem-sucedida n\u00e3o compromete apenas um servidor: compromete a porta de entrada para toda a base de clientes e esta\u00e7\u00f5es de trabalho gerenciadas a partir dele. \u00c9 exatamente esse efeito multiplicador que torna a CVE-2026-84869 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> uma das mais perigosas do ciclo de setembro.<\/p>\n

Neste artigo t\u00e9cnico, vamos dissecar a falha em profundidade \u2014 do funcionamento interno do ScreenConnect ao vetor de ataque em produ\u00e7\u00e3o \u2014, listar vers\u00f5es afetadas, apresentar passos pr\u00e1ticos e audit\u00e1veis de mitiga\u00e7\u00e3o, orientar a verifica\u00e7\u00e3o p\u00f3s-patch e tra\u00e7ar um paralelo hist\u00f3rico com outras falhas de acesso remoto que marcaram a ind\u00fastria. A recomenda\u00e7\u00e3o central \u00e9 clara: n\u00e3o espere o fim do expediente. A janela de exposi\u00e7\u00e3o est\u00e1 aberta agora.<\/p>\n

O que \u00e9 a CVE-2026-84869 e sua explora\u00e7\u00e3o ativa vulnerabilidade<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-84869<\/strong><\/td>\n<\/tr>\n
CVSS Score<\/td>\n8.8 \u2014 HIGH \ud83d\udfe0 Alto<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork (remoto, sem confirma\u00e7\u00e3o de host)<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nConnectWise ScreenConnect<\/strong> \u2014 m\u00faltiplas vers\u00f5es<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-269 (Improper Privilege Management) + CWE-862 (Missing Authorization)<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n14\/09\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 atualiza\u00e7\u00e3o de emerg\u00eancia liberada pelo fabricante<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A CVE-2026-84869<\/strong> combina duas falhas cr\u00edticas de autoriza\u00e7\u00e3o no ConnectWise ScreenConnect<\/strong>: uma gest\u00e3o inadequada de privil\u00e9gios (CWE-269<\/strong>) e uma aus\u00eancia de autoriza\u00e7\u00e3o (CWE-862<\/strong>). Na pr\u00e1tica, isso significa que um atacante pode abusar de uma sess\u00e3o remota ativa para transferir arquivos e executar c\u00f3digo no host de destino sem que haja autoriza\u00e7\u00e3o adequada ou, o que \u00e9 ainda mais grave, sem que o usu\u00e1rio final sequer receba um pedido de confirma\u00e7\u00e3o. O ScreenConnect foi projetado para exigir consentimento do host antes de a\u00e7\u00f5es sens\u00edveis \u2014 essa barreira, contudo, pode ser contornada pela falha.<\/p>\n

O impacto t\u00e9cnico \u00e9 elevado porque a explora\u00e7\u00e3o n\u00e3o exige que o atacante quebre criptografia, adivinhe credenciais ou comprometa um segundo fator de autentica\u00e7\u00e3o. Basta que o atacante tenha acesso a uma sess\u00e3o remota ativa \u2014 o que pode ocorrer por meio de credenciais vazadas, sequestro de sess\u00e3o, phishing direcionado ou at\u00e9 mesmo via outra vulnerabilidade correlata. Uma vez dentro do fluxo de sess\u00e3o, a falha de privil\u00e9gio faz o resto, permitindo que opera\u00e7\u00f5es de transfer\u00eancia e execu\u00e7\u00e3o de arquivos sejam realizadas silenciosamente.<\/p>\n

An\u00e1lise t\u00e9cnica detalhada da CVE-2026-84869<\/h3>\n

Para entender a gravidade desta CVE-2026-84869 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong>, \u00e9 preciso olhar para a arquitetura do ConnectWise ScreenConnect<\/strong>. O produto opera em um modelo cliente-servidor: um servidor central coordena sess\u00f5es de acesso remoto entre t\u00e9cnicos e endpoints. Quando um t\u00e9cnico inicia uma sess\u00e3o, o servidor gera tokens de autoriza\u00e7\u00e3o e define um conjunto de pol\u00edticas de permiss\u00e3o para aquela sess\u00e3o espec\u00edfica. Essas pol\u00edticas controlam o que o t\u00e9cnico pode fazer \u2014 como visualizar a tela, transferir arquivos, executar comandos ou reiniciar o host.<\/p>\n

A CVE-2026-84869<\/strong> rompe esse modelo em dois n\u00edveis. Primeiro, a gest\u00e3o de privil\u00e9gios n\u00e3o valida corretamente se o token de sess\u00e3o apresentado corresponde ao n\u00edvel de permiss\u00e3o necess\u00e1rio para realizar transfer\u00eancias e execu\u00e7\u00f5es de arquivos. Em condi\u00e7\u00f5es normais, um t\u00e9cnico s\u00f3 poderia executar essas a\u00e7\u00f5es se a pol\u00edtica da sess\u00e3o o permitisse e se o host tivesse consentido previamente. A falha permite que um atacante manipule o estado da sess\u00e3o para contornar essas verifica\u00e7\u00f5es, elevando seus privil\u00e9gios dentro do contexto da sess\u00e3o remota ativa.<\/p>\n

Segundo, a aus\u00eancia de valida\u00e7\u00e3o de autoriza\u00e7\u00e3o significa que determinadas chamadas de API do servidor n\u00e3o verificam se o solicitante possui autoriza\u00e7\u00e3o para agir sobre um determinado endpoint. Essa lacuna permite que uma sess\u00e3o comprometida execute opera\u00e7\u00f5es arbitr\u00e1rias sem passar pelo fluxo normal de confirma\u00e7\u00e3o do host. Em termos pr\u00e1ticos, o atacante pode “empurrar” um payload malicioso para o endpoint, disfar\u00e7ado como uma transfer\u00eancia de arquivo leg\u00edtima, e em seguida executar esse payload sem gerar qualquer alerta na interface do usu\u00e1rio final.<\/p>\n

O vetor de ataque \u00e9 classificado como Network<\/strong> porque a explora\u00e7\u00e3o ocorre sobre o protocolo de rede do ScreenConnect, n\u00e3o exigindo acesso local ou intera\u00e7\u00e3o f\u00edsica com o dispositivo. A complexidade de ataque \u00e9 baixa, o que significa que mesmo atacantes com conhecimento mediano conseguem reproduzir o exploit uma vez que tenham acesso a uma sess\u00e3o ativa. A integridade e a confidencialidade s\u00e3o completamente comprometidas, e a disponibilidade tamb\u00e9m pode ser afetada se o atacante optar por a\u00e7\u00f5es destrutivas ap\u00f3s a execu\u00e7\u00e3o do c\u00f3digo.<\/p>\n

Produtos e vers\u00f5es afetados pela CVE-2026-84869<\/h3>\n

A falha foi confirmada nas seguintes linhas do ConnectWise ScreenConnect<\/strong>:<\/p>\n