Celah Kritis ConnectWise ScreenConnect Kini Aktif Dieksploitasi dalam Serangan

Celah keamanan kritis pada ConnectWise ScreenConnect kini telah terdeteksi dieksploitasi secara aktif oleh penyerang di dunia nyata. Peringatan tersebut disampaikan oleh Cybersecurity and Infrastructure Security Agency (CISA) setelah memasukkan kerentanan tersebut ke dalam katalog Known Exploited Vulnerabilities.

Kerentanan yang telah diberi identitas CVE-2026-84869 berkaitan dengan masalah missing authorization dan improper privilege management. Dalam kondisi tertentu, penyerang dengan hak akses dasar dapat melakukan transfer maupun eksekusi file melalui sesi remote yang aktif tanpa memerlukan konfirmasi dari pengguna atau host.

ConnectWise telah memperbaiki masalah tersebut melalui ScreenConnect versi 26.6.5 dan yang lebih baru.

Serangan Tidak Membutuhkan Interaksi Pengguna

CVE-2026-84869 dinilai kritis karena eksploitasi dapat dilakukan dengan tingkat kompleksitas yang rendah dan tidak membutuhkan interaksi pengguna.

Menurut CISA, kombinasi masalah pengelolaan hak akses dan otorisasi yang tidak memadai memungkinkan penyerang melakukan transfer serta eksekusi file melalui sesi remote yang sedang aktif tanpa otorisasi maupun konfirmasi dari host.

Karakteristik tersebut menjadikan kerentanan pada platform remote access sangat berisiko, karena perangkat lunak seperti ScreenConnect biasanya memiliki akses administratif atau digunakan untuk melakukan pemeliharaan terhadap sistem pelanggan.

CISA Masukkan CVE-2026-84869 ke Katalog Kerentanan yang Dieksploitasi

CISA menambahkan CVE-2026-84869 ke dalam Known Exploited Vulnerabilities (KEV) Catalog pada 11 September 2026.

Untuk lembaga pemerintah federal Amerika Serikat, CISA memerintahkan sistem yang terdampak untuk diamankan dalam waktu tiga hari karena kerentanan tersebut telah digunakan dalam serangan yang sedang berlangsung.

Masuknya sebuah kerentanan ke dalam katalog KEV menjadi indikator bahwa organisasi perlu memberikan prioritas tinggi terhadap proses mitigasi dan patching, terutama ketika produk tersebut dapat diakses melalui jaringan.

ConnectWise Sebelumnya Memberikan Mitigasi Sementara

Sebelum patch tersedia, ConnectWise telah mengeluarkan langkah mitigasi sementara pada 7 September 2026.

Perusahaan menyarankan tim keamanan untuk menonaktifkan izin TransferFiles guna mengurangi kemungkinan eksploitasi terhadap celah tersebut.

Namun, setelah pembaruan resmi tersedia, mitigasi sementara sebaiknya tidak diperlakukan sebagai pengganti patch permanen. Administrator perlu memastikan ScreenConnect telah diperbarui ke versi 26.6.5 atau yang lebih baru.

Lebih dari 1.000 Instance Masih Terpapar

Pemantauan dari Shadowserver menunjukkan bahwa masih terdapat lebih dari 1.000 instance ScreenConnect yang belum diperbarui dan terekspos secara online.

Sebagian besar instance yang teridentifikasi berada di Amerika Utara sebanyak 758 dan Eropa sebanyak 180.

Angka tersebut menunjukkan bahwa masih terdapat sejumlah besar sistem yang dapat menjadi target serangan meskipun pembaruan keamanan telah tersedia.

Bagi administrator yang mengelola ScreenConnect secara langsung maupun melalui layanan managed service provider (MSP), pemeriksaan versi perangkat lunak dan eksposur internet menjadi langkah penting untuk memastikan sistem tidak berada dalam kondisi rentan.

ScreenConnect Menjadi Target Berulang Kelompok Peretas

CVE-2026-84869 bukan satu-satunya masalah keamanan ScreenConnect yang pernah dieksploitasi di dunia nyata.

Sejak 2024, CISA telah memasukkan empat kerentanan ScreenConnect ke dalam katalog kerentanan yang diketahui telah dieksploitasi. Dua di antaranya juga pernah dikaitkan dengan serangan ransomware.

Pada 2024, kelompok peretas yang didukung Korea Utara, Kimsuky, dilaporkan mengeksploitasi kerentanan ScreenConnect untuk menyebarkan malware. Sejumlah kelompok ransomware juga memanfaatkan kerentanan ScreenConnect pada periode yang sama.

ConnectWise kemudian menghadapi masalah keamanan lainnya pada 2025 dan 2026, termasuk kerentanan CVE-2025-3935 serta CVE-2026-3564 yang berhubungan dengan keamanan dan integritas sistem ScreenConnect.

Mengapa ScreenConnect Menjadi Target Menarik?

ScreenConnect merupakan platform remote access yang digunakan oleh banyak tim IT dan managed service provider (MSP) untuk melakukan troubleshooting, patching, pemeliharaan, serta mengelola perangkat pelanggan.

ConnectWise menyebut layanannya digunakan oleh lebih dari 100.000 penyedia layanan IT di seluruh dunia.

Posisi ScreenConnect dalam infrastruktur IT membuat kompromi terhadap server atau sesi remote berpotensi memberikan penyerang jalur menuju sistem yang dikelola melalui platform tersebut.

Karena itu, kerentanan pada software remote management memiliki konsekuensi yang dapat lebih luas dibandingkan aplikasi biasa yang tidak memiliki akses administratif terhadap perangkat lain.

Administrator Diminta Segera Memeriksa ScreenConnect

Administrator yang masih menggunakan ScreenConnect perlu memeriksa versi yang terpasang dan memastikan perangkat telah diperbarui ke 26.6.5 atau versi yang lebih baru.

Langkah yang dapat dilakukan meliputi:

• Memeriksa seluruh instance ScreenConnect yang dikelola.
• Memastikan versi yang digunakan sudah mendapatkan patch CVE-2026-84869.
• Memeriksa apakah layanan ScreenConnect terekspos langsung ke internet.
• Meninjau konfigurasi hak akses, khususnya izin TransferFiles.
• Memeriksa log untuk aktivitas transfer atau eksekusi file yang tidak biasa.
• Meninjau akun dengan hak akses tinggi dan mengganti kredensial jika ditemukan indikasi kompromi.
• Memantau sistem yang dikelola melalui ScreenConnect untuk mendeteksi aktivitas lanjutan.

Dengan CVE-2026-84869 yang sudah diketahui aktif dieksploitasi, pembaruan ScreenConnect sebaiknya menjadi prioritas bagi organisasi maupun MSP yang masih menggunakan versi terdampak.

Sumber: CISA dan ConnectWise