Una vulnerabilità critica di ConnectWise ScreenConnect è ora sfruttata in attacchi reali. Per chi usa questo strumento di accesso remoto — direttamente o tramite un fornitore IT esterno — il tema è urgente perché può consentire trasferimento ed esecuzione di file durante sessioni remote attive senza autorizzazione del cliente o conferma dell’host. In pratica, un software molto diffuso per assistenza e manutenzione remota è diventato un possibile punto d’ingresso.
La notizia riguarda da vicino anche le PMI italiane: ScreenConnect è usato da moltissimi MSP e reparti IT per supporto tecnico, patching e gestione dei PC. Se in azienda avete un contratto di assistenza, è probabile che il vostro fornitore utilizzi o abbia utilizzato strumenti di questa categoria.
Che cosa è successo
Il 16 settembre 2026 BleepingComputer ha riportato che la CISA, l’agenzia federale statunitense per la cybersicurezza, ha confermato lo sfruttamento attivo di una vulnerabilità critica in ConnectWise ScreenConnect. La falla è identificata come CVE-2026-84869 ed è stata corretta nelle versioni 26.6.5 e successive del prodotto.
Secondo le informazioni pubblicate, il problema combina una gestione impropria dei privilegi con un difetto di autorizzazione. Il risultato pratico è serio: un attaccante con privilegi di base potrebbe trasferire o eseguire file all’interno di sessioni remote attive, con un attacco a bassa complessità e senza necessità di interazione da parte dell’utente.
La CISA ha inserito la vulnerabilità nel proprio catalogo delle falle sfruttate attivamente e ha imposto alle agenzie federali USA di mettere in sicurezza i sistemi entro tre giorni. Quando un difetto entra in quell’elenco, il segnale per il mercato è chiaro: non si tratta più di un rischio teorico, ma di un vettore già usato sul campo.
Perché ScreenConnect è un bersaglio così delicato
ScreenConnect non è un software marginale. ConnectWise dichiara servizi per oltre 100.000 provider IT nel mondo, e la piattaforma è largamente adottata da MSP e team tecnici per collegarsi da remoto ai computer dei clienti, fare manutenzione, distribuire aggiornamenti e risolvere problemi.
Questo rende il prodotto particolarmente appetibile per gli attaccanti per tre motivi:
- offre accesso privilegiato a sistemi aziendali già autorizzati;
- è spesso esposto su Internet per consentire l’assistenza remota;
- viene utilizzato in modo trasversale su molti clienti, soprattutto tramite fornitori esterni.
In altre parole, colpire uno strumento di remote management significa potenzialmente colpire molti ambienti aziendali attraverso una porta già considerata “fidata”.
I dettagli tecnici che contano per il business
ConnectWise aveva condiviso misure di mitigazione temporanee già il 7 settembre 2026, consigliando ai team di sicurezza di disabilitare i permessi TransferFiles per ridurre il rischio di attacco in attesa della correzione definitiva. La patch è poi arrivata con ScreenConnect 26.6.5.
Il punto importante, per un responsabile aziendale, non è tanto il dettaglio tecnico della vulnerabilità quanto il suo impatto operativo:
- può riguardare server ScreenConnect interni o gestiti da terzi;
- può essere sfruttata durante sessioni remote già attive;
- può facilitare l’introduzione o l’esecuzione di file non autorizzati;
- può diventare il primo passo verso compromissioni più gravi, inclusi furto di dati, malware o ransomware.
La stessa CISA ha ricordato che queste vulnerabilità sono spesso sfruttate come vettore di attacco ricorrente. E il contesto storico non aiuta: dal 2024 l’agenzia ha già segnalato quattro problemi di sicurezza di ScreenConnect come attivamente sfruttati, e due di questi sono stati abusati anche in attacchi ransomware.
Un campanello d’allarme che non arriva da zero
Questa nuova falla non è un episodio isolato. Negli ultimi anni ScreenConnect è finito più volte nel mirino di gruppi criminali e di attori sponsorizzati da Stati.
La fonte ricorda, ad esempio, che nel 2024 un’altra vulnerabilità del prodotto, CVE-2024-1709, era stata sfruttata sia dal gruppo nordcoreano Kimsuky sia da diverse gang ransomware. Inoltre, lo scorso anno ConnectWise aveva sostituito certificati di firma del codice dopo aver reso noto che hacker sospettati di essere legati a uno Stato avevano violato i suoi sistemi tramite attacchi di code injection che sfruttavano la falla CVE-2025-3935, accedendo a istanze cloud di un numero limitato di clienti.
Più recentemente, a marzo 2026, ConnectWise aveva corretto anche CVE-2026-3564, una vulnerabilità nella verifica delle firme crittografiche che poteva consentire il dirottamento di server ScreenConnect non aggiornati.
Messa così, la situazione non va letta come “un bug qualsiasi”, ma come la conferma di una pressione costante su una piattaforma critica per l’assistenza remota.
Quanti sistemi risultano ancora esposti
Secondo quanto riportato, Shadowserver monitora ancora oltre 1.000 istanze di ScreenConnect non aggiornate ed esposte online. La maggior parte si trova in Nord America (758) e in Europa (180).
Il dato non dimostra di per sé una compromissione, ma segnala due aspetti rilevanti:
- molte organizzazioni non hanno ancora applicato la correzione;
- esiste una superficie di attacco reale e facilmente individuabile.
Per un’impresa, questo significa che gli attaccanti hanno tutto l’interesse a cercare sistemi vulnerabili in modo automatizzato, soprattutto quando il software è direttamente raggiungibile da Internet.
Cosa significa per la tua azienda
Se usate ScreenConnect in casa o tramite un partner IT, le priorità sono molto concrete.
1. Verificate subito se ScreenConnect è presente nel vostro perimetro
Non date per scontato di saperlo. Molte PMI non installano direttamente questi strumenti: li eroga il fornitore di assistenza. Chiedete esplicitamente se viene utilizzato ScreenConnect, dove è installato e quale versione è in uso.
2. Controllate la versione
La vulnerabilità è corretta da ScreenConnect 26.6.5 in poi. Se avete una versione precedente, l’aggiornamento va trattato come urgente.
3. Applicate o fate applicare la mitigazione temporanea se necessario
Nelle fasi immediatamente precedenti all’aggiornamento, ConnectWise aveva indicato di disabilitare i permessi TransferFiles. Se esistono ambienti in cui la patch non può essere applicata subito, questa misura va verificata senza ritardi.
4. Rivedete chi può accedere da remoto e con quali privilegi
Questa vicenda ricorda una regola spesso trascurata: gli strumenti di teleassistenza non devono avere più permessi del necessario. Limitate gli account, separate i ruoli, controllate quali operatori possono trasferire file o eseguire attività amministrative.
5. Cercate segnali anomali nelle sessioni remote
È opportuno controllare log, cronologia delle sessioni, trasferimenti file, esecuzioni inattese e accessi fuori orario. Anche in assenza di allarmi, una verifica retrospettiva ha senso, perché lo sfruttamento attivo è già confermato.
6. Assicuratevi di avere backup affidabili e isolati
Se una falla di accesso remoto viene usata come ponte per malware o ransomware, la capacità di ripristino fa la differenza tra incidente gestibile e blocco operativo. Un sistema di remote backup ben progettato riduce tempi di fermo e impatto economico.
7. Pretendete un processo di patch management chiaro dal vostro fornitore
Non basta “fare assistenza”. Serve un presidio continuativo su vulnerabilità, aggiornamenti urgenti e verifiche post-intervento. Se il supporto IT è esterno, chiedete tempi, responsabilità e modalità di comunicazione in caso di allerta critica. Se manca questa struttura, conviene rivedere il modello di servizio, ad esempio con contratti di assistenza informatica che definiscano priorità e SLA.
8. Inserite questi strumenti nel piano di sicurezza aziendale
Le piattaforme di remote access meritano lo stesso livello di attenzione di firewall, server di posta e VPN. Vanno censite, monitorate e incluse nelle attività di sicurezza informatica, non considerate un semplice “tool del tecnico”.
Il vero insegnamento: la supply chain IT è parte del rischio
Molte aziende pensano alla sicurezza solo in termini di PC interni, password dei dipendenti e antivirus. Ma casi come questo mostrano che una quota rilevante del rischio passa anche dagli strumenti del fornitore IT.
Se un MSP utilizza una piattaforma di accesso remoto vulnerabile, il problema non resta confinato al suo perimetro tecnico: può riflettersi sui clienti assistiti. Per questo oggi la domanda giusta non è solo “i nostri computer sono aggiornati?”, ma anche “gli strumenti con cui terzi si collegano ai nostri computer sono governati correttamente?”.
È un tema di governance prima ancora che di tecnologia. Inventario dei software di accesso remoto, controllo dei fornitori, privilegi minimi, aggiornamenti rapidi e verifiche periodiche sono misure essenziali anche per realtà di dimensioni contenute.
Domande frequenti
Se non usiamo direttamente ScreenConnect, possiamo stare tranquilli?
No. Dovete verificare se lo usa il vostro fornitore IT o un MSP che si collega ai vostri sistemi. Il rischio può arrivare anche tramite strumenti gestiti da terzi.
Basta aggiornare alla versione corretta per chiudere il problema?
L’aggiornamento a 26.6.5 o superiore è il passo principale, ma è prudente controllare anche configurazioni, permessi, log delle sessioni e attività anomale recenti.
Questa falla può avere effetti anche su una piccola impresa?
Sì. Gli strumenti di accesso remoto sono diffusi proprio nelle PMI, dove spesso un unico software di assistenza consente accesso a molti PC e server. Per questo l’impatto potenziale è elevato anche in organizzazioni non grandi.