ConnectWise Peringatkan Celah Baru ScreenConnect, Patch Belum Tersedia
ConnectWise memperingatkan pelanggan mengenai kerentanan keamanan baru pada ScreenConnect Remote Access yang saat ini belum memiliki patch. Perusahaan telah menyediakan langkah mitigasi sementara untuk mengurangi risiko eksploitasi sambil menyiapkan perbaikan permanen yang dijadwalkan dirilis akhir pekan ini.
Kerentanan tersebut memengaruhi deployment cloud maupun on-premises dan belum mendapatkan CVE ID.
ScreenConnect merupakan platform remote access yang banyak digunakan oleh managed service provider (MSP), departemen IT, dan tim support untuk melakukan troubleshooting, patching, pemeliharaan, serta mengelola perangkat dari jarak jauh.
Celah Berkaitan dengan Transfer File
Dalam security advisory yang diterbitkan pada 3 September 2026, ConnectWise mengatakan telah menemukan masalah yang memengaruhi perilaku file transfer pada sesi ScreenConnect Remote Access Support dan Access.
ConnectWise belum mengungkap detail teknis mengenai kerentanan tersebut maupun metode eksploitasi yang mungkin digunakan penyerang.
Namun, karena patch permanen belum tersedia, perusahaan menyediakan konfigurasi mitigasi yang dapat dilakukan administrator untuk mengurangi potensi serangan.
Mitigasi tersebut pada dasarnya menonaktifkan permission transfer file pada session group yang digunakan oleh role pengguna.
Cara Mengaktifkan Mitigasi Sementara
Administrator ScreenConnect perlu melakukan perubahan permission melalui halaman Administration.
Langkah yang direkomendasikan ConnectWise adalah:
- Login ke ScreenConnect Administration page.
- Buka Administration > Security > Roles.
- Edit user role dan periksa session group yang ditandai dengan huruf tebal beserta permission yang dimilikinya.
- Pada Scoped Permissions, hapus centang pada permission TransferFiles. Untuk konfigurasi legacy, gunakan TransferFilesInSession.
- Simpan perubahan dan ulangi proses tersebut untuk seluruh role yang relevan.
Mitigasi ini dapat membatasi kemampuan transfer file pada sesi ScreenConnect, sehingga administrator perlu mempertimbangkan dampaknya terhadap workflow support yang menggunakan fitur tersebut.
ConnectWise berencana menyediakan permanent fix dalam pembaruan yang dijadwalkan pada akhir pekan setelah advisory diterbitkan.
Hampir 6.000 ScreenConnect Terekspos Internet
Data dari Shadowserver menunjukkan terdapat hampir 6.000 instance ScreenConnect yang dapat diakses dari Internet.
Angka tersebut tidak berarti seluruh instance rentan terhadap masalah terbaru ini. Shadowserver juga tidak mengetahui berapa banyak sistem yang merupakan honeypot atau telah diamankan oleh administrator.
Namun, jumlah perangkat yang terekspos tetap menjadi perhatian karena ScreenConnect memiliki fungsi remote access dengan tingkat akses yang tinggi terhadap perangkat yang dikelola.
Platform semacam ini menjadi target menarik bagi attacker karena kompromi terhadap satu server dapat membuka peluang untuk mengakses atau mengelola banyak endpoint pelanggan.
ScreenConnect Sering Menjadi Target Serangan
Kerentanan ScreenConnect memiliki sejarah panjang sebagai target kelompok hacking, baik yang bermotif finansial maupun yang didukung negara.
Pada 2024, kelompok ransomware dan Kimsuky, kelompok APT asal Korea Utara, mengeksploitasi kerentanan ScreenConnect untuk memasang malware pada sistem yang belum diperbarui.
Salah satu kerentanan yang menjadi target adalah CVE-2024-1709.
Pada tahun berikutnya, ConnectWise juga mengungkap bahwa hacker yang diduga memiliki keterkaitan dengan operasi yang disponsori negara berhasil membobol sistem perusahaan melalui ViewState code injection vulnerability dengan severity tinggi. Serangan tersebut memberikan akses terhadap instance cloud milik sejumlah pelanggan.
Kemudian pada Maret 2026, ConnectWise menambal kerentanan cryptographic signature verification yang dilacak sebagai CVE-2026-3564. Celah tersebut dapat dimanfaatkan untuk melakukan hijacking terhadap instance ScreenConnect yang belum diperbarui.
Tiga Kerentanan ScreenConnect Masuk Daftar CISA
Risiko terhadap ScreenConnect juga tercermin dari daftar Known Exploited Vulnerabilities (KEV) milik CISA.
Sejak Februari 2024, CISA telah memasukkan tiga kerentanan ScreenConnect ke dalam katalog vulnerability yang diketahui telah dieksploitasi di dunia nyata.
Dua dari kerentanan tersebut juga diketahui telah dimanfaatkan dalam serangan ransomware.
Riwayat eksploitasi tersebut membuat administrator perlu memberikan perhatian khusus terhadap vulnerability baru, terutama ketika perangkat ScreenConnect dapat diakses langsung dari Internet.
Administrator Diminta Menerapkan Mitigasi
Karena patch permanen untuk kerentanan terbaru belum tersedia, administrator disarankan menerapkan mitigasi TransferFiles sesegera mungkin sesuai rekomendasi ConnectWise.
Organisasi juga sebaiknya mengidentifikasi seluruh instance ScreenConnect yang terekspos Internet dan memastikan konfigurasi permission telah diperiksa.
Setelah patch permanen tersedia, administrator perlu segera memasangnya dan kemudian mengevaluasi kembali permission transfer file sesuai kebutuhan operasional.
Mengingat ScreenConnect telah beberapa kali menjadi target eksploitasi ransomware dan kelompok APT, menunda mitigasi hingga patch tersedia dapat meningkatkan risiko bagi organisasi yang menjalankan layanan remote access tersebut.
Sumber: ConnectWise
