Una nuova vulnerabilità critica in ScreenConnect minaccia migliaia di sistemi. ConnectWise offre solo soluzioni temporanee mentre gli attacchi aumentano e la patch definitiva è ancora in arrivo.
Quasi 6.000 istanze di ScreenConnect sono esposte online mentre una nuova vulnerabilità, ancora priva di patch ufficiale, mette a rischio la sicurezza di MSP, reparti IT e team di supporto in tutto il mondo. ConnectWise ha confermato che la falla riguarda sia le installazioni cloud che quelle on-premises, lasciando migliaia di sistemi in balia di potenziali attacchi.
Il problema, individuato nel comportamento di trasferimento file durante le sessioni di supporto e accesso remoto, non ha ancora ricevuto un CVE ID, complicando il monitoraggio e la risposta coordinata. ConnectWise, in un advisory pubblicato giovedì, ha fornito una serie di passaggi manuali per disabilitare temporaneamente la funzione TransferFiles, invitando gli amministratori a intervenire subito sui ruoli utente e sulle sessioni più esposte.
Attacchi e precedenti critici
ScreenConnect non è nuovo a vulnerabilità sfruttate attivamente. Nel 2024, ransomware e gruppi APT come Kimsuky hanno già colpito sfruttando la falla CVE-2024-1709 per distribuire malware. Nel marzo scorso, ConnectWise ha dovuto correggere un'altra vulnerabilità legata alla verifica delle firme crittografiche (CVE-2026-3564), mentre nel 2023 un bug ViewState (CVE-2025-3935) ha permesso a presunti attori statali di accedere a istanze cloud di alcuni clienti.
La situazione attuale ricorda quanto accaduto con Zimbra, dove una vulnerabilità RCE ha portato a ondate di attacchi mirati e a un'allerta immediata per gli amministratori, come riportato recentemente dagli esperti di sicurezza.
Impatto operativo e risposta di ConnectWise
La mancanza di una patch definitiva costringe le aziende a soluzioni tampone: disabilitare il trasferimento file significa limitare le funzionalità chiave di ScreenConnect, con impatti diretti su assistenza remota e manutenzione. Shadowserver monitora costantemente le istanze esposte, ma non è chiaro quante siano già state messe in sicurezza o siano semplici honeypot.
Dal febbraio 2024, la CISA statunitense ha inserito tre vulnerabilità di ScreenConnect nel catalogo delle falle sfruttate attivamente, due delle quali legate a campagne ransomware. Il rischio di escalation è concreto: ogni giorno senza patch aumenta la superficie d'attacco e la pressione sugli amministratori IT.
Analisi e prospettive
La gestione di questa crisi da parte di ConnectWise mostra tutti i limiti di un approccio reattivo: fornire solo workaround manuali mentre la minaccia è già concreta espone clienti e fornitori di servizi a rischi inaccettabili. In un contesto dove le vulnerabilità zero-day vengono sfruttate in tempi sempre più rapidi, la lentezza nel rilascio di patch definitive non è più tollerabile. La fiducia degli utenti si gioca sulla capacità di rispondere con trasparenza e tempestività, non con soluzioni provvisorie che sacrificano funzionalità essenziali. Se ConnectWise vuole mantenere la propria credibilità nel settore, dovrà dimostrare di saper anticipare le minacce e non limitarsi a rincorrerle.
