--- title: "ConnectWise ScreenConnect の CVE-2026-84869: 接続中のセッションでホストの確認なしにファイルを転送・実行、CVSS 9.9（PR:L）・KEV 掲載" url: https://n-t-p.io/worldsecurity/articles/connectwise-screenconnect-client-unauthorized-file-transfer-kev-cve-2026-84869 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月3日 updated: 2026年11月3日 severity: 高 cve: CVE-2026-84869 --- # ConnectWise ScreenConnect の CVE-2026-84869: 接続中のセッションでホストの確認なしにファイルを転送・実行、CVSS 9.9（PR:L）・KEV 掲載 > **TL;DR:** ConnectWise ScreenConnect のクライアントで、接続中のセッションを通じてホストの許可なくファイルが転送・実行されうる不具合（CVE-2026-84869、CVSS v3.1 9.9・PR:L）。CISA KEV に掲載済み。26.6.5 以降へ更新し、侵害の痕跡を確認する。 **要点** - クライアントの権限管理・認可の不備（CWE-269・CWE-862）。サーバーは影響を受けない - CVSS v3.1 9.9（ConnectWise 評価、AV:N/PR:L）。低い権限が必要なため critical にせず high - 対象は 26.6.5 より前のクライアント（NVD の範囲は 26.6.5.9742 未満） - KEV 2026-09-11 追加、EPSS 0.0092。具体的な発動条件・手口・規模は未確認 ConnectWise ScreenConnect のクライアントに、接続中のリモートセッションを通じて、ホストの許可や確認なしにファイルを転送・実行できてしまう不具合（CVE-2026-84869、CWE-269・CWE-862）が見つかりました。サーバーは影響を受けません。CISA は 2026-09-11 に既知の悪用がある脆弱性（KEV）として追加し、対応期限を 2026-09-14 としています。CNA（ConnectWise）の CVSS v3.1 は 9.9 ですが、攻撃には低い権限（PR:L）が必要なため、本サイトでは critical ではなく high としています。 ## 概要 | 項目 | 内容 | |---|---| | CVE | CVE-2026-84869 | | 製品 | ConnectWise ScreenConnect（クライアント） | | 問題 | 特定の状況で、接続中のセッション経由のファイル転送と実行が、認可やホストの確認なしに行われうる（権限管理の不備・認可の欠落） | | 攻撃条件 | ネットワーク経由。低い権限が必要（PR:L）。ユーザー操作は不要 | | 結果 | 接続先の端末で任意のファイルが実行されうる（機密性・完全性・可用性への高い影響、スコープ変更あり） | | 悪用状況 | CISA KEV に 2026-09-11 追加（対応期限 2026-09-14）。攻撃の手口・規模は未確認 | ## 影響範囲 - 26.6.5 より前のすべての版のクライアントが対象です（NVD の範囲は 26.6.5.9742 未満）。 - ScreenConnect サーバーは影響を受けないとされています。 - どのような状況でホストの確認が省かれるのか、具体的な条件は未確認です。 ## 対策 - ConnectWise のセキュリティ情報（2026-09-08 付）に従い、クライアントを 26.6.5 以降へ更新する。 - CISA は KEV の対応として、ベンダーの手順に沿った緩和と、フォレンジックのトリアージ（侵害の痕跡の確認）を求めている。更新の前後で、想定外のファイル転送・実行の記録がないかを点検する。 - 見覚えのない ScreenConnect のインストールや、不審なセッションがないかを確認し、管理していないクライアントは削除する。 - 緩和策が用意できない場合は、製品の利用中止を検討する（CISA の要求事項）。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | NVD の状態 | Analyzed（2026-09-08 公開） | | CVSS v3.1 | 9.9（ConnectWise による。AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H） | | CWE | CWE-269、CWE-862 | | EPSS | 0.0092（パーセンタイル 0.604、2026-11-02 時点） | | KEV | 2026-09-11 追加、期限 2026-09-14 | | CISA SSVC | 悪用: active、自動化可能: no、技術的影響: total | | 出典 | NVD、CISA KEV、ConnectWise セキュリティ情報、FIRST | ## 未確認の点 - ホストの確認が省かれる具体的な条件と、必要な低い権限の中身。 - 修正版 26.6.5 以降の正確な版番号と、回避策の有無。 - 攻撃の標的・規模・手口、ランサムウェアでの利用の有無。 ## 出典 - [NVD CVE-2026-84869](https://nvd.nist.gov/vuln/detail/CVE-2026-84869) — NIST NVD - [ConnectWise セキュリティ情報 2026-09-08](https://www.connectwise.com/company/trust/security-bulletins/2026-09-08-screenconnect-bulletin) — ConnectWise - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-84869) — CISA - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-84869) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/connectwise-screenconnect-client-unauthorized-file-transfer-kev-cve-2026-84869