ConnectWise ScreenConnect のクライアント側で、遠隔セッション中に許可なくファイルを転送・実行できる（KEV・CVSS 9.9・是正期限 2026-09-14）

Critical（CVSS 9.9）に分類されるConnectWise ConnectWise ScreenConnect のクライアント（NVD の該当範囲は 26.6.5.9742 未満）。**サーバは影響を受けない**とベンダが明記しているの脆弱性です。ConnectWise ScreenConnect の**クライアント**に、一定の条件下で、実行中の遠隔セッションを通じてファイルの転送と実行が、認可もホストの確認も無いまま行われうる欠陥がある。NVD の記述と ConnectWise の速報（2026年9月8日付 ScreenConnect 26.6.5 Security Patch）は同じ内容で、**ScreenConnect のサーバは影響を受けない**と明記している。CVSS 3.1 基本値は 9.9（AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）で、低い権限は要るがスコープが変化する（S:C）という評価である。 この欠陥の位置がそのまま危険度を決めている。**ScreenConnect は遠隔保守のために、被管理側の端末へ常駐のエージェントとして入っている。** 通常、その端末へファイルを送り込んで実行する操作には、接続先の利用者（ホスト）の確認が挟まる。その確認を迂回できるということは、遠隔セッションを張れる立場の者が、被管理端末で任意のプログラムを走らせられるということになる。CVSS が PR:L（低い権限が必要）でありながら S:C（スコープ変化）と評価されているのは、権限の及ぶ範囲がセッションの外側の端末本体へ抜けるためである。 CISA は 2026年9月11日に本件を KEV へ収載し、**是正期限を 2026年9月14日という収載から3日後**に設定した。KEV は「悪用が確認されたもの」だけを載せるカタログなので、収載そのものが実際の悪用を意味する。ConnectWise 自身も速報で優先度を「1 - High（悪用が実際に狙われている、あるいは狙われる危険が高い。緊急変更として、遅くとも数日以内に適用すること）」としている。NVD の参照には Huntress の観測記録（不正に設置された ScreenConnect に関するもの）も挙がっている。

**26.6.5 へ上げることが対応の本体である。** ConnectWise の速報は「26.6.5 より前のすべての版が影響を受ける」としており、NVD の該当範囲（26.6.5.9742 未満）もこれと一致する。 **クラウド版（ScreenConnect Cloud）を使っている場合、更新はベンダ側で自動的に行われる**とベンダが明記している。利用者側の作業は無い。ただし後述のエージェント再導入は、クラウド版でも必要である。 **オンプレミス版を使っている場合は自分で上げる。** ScreenConnect のダウンロードページから 26.6.5 を取得して適用する（有効なオンプレミスのライセンスが要る）。ライセンスが保守期限切れになっていると最新版を入れられないので、その場合はライセンスの更新が先になる。2026年内に更新期日が来るライセンスであれば、更新せずに 26.6 へ上げられるとベンダは書いている。管理画面の Administration > Overview にある「Latest Eligible Version」で、自分の環境が 26.6.5 に上げられるかを先に確認するとよい。ConnectWise Automate と連携したオンプレミス構成の場合は、Automate の Product Updates ページからも 26.6.5 を配布できる。 **更新したら、ホストクライアントを入れ直し、アクセスエージェントを更新すること。** これはベンダが速報で2度繰り返している手順で、サーバを上げただけでは配布済みのクライアントが古いままになるためである。**欠陥はクライアント側にあるので、この手順を飛ばすと本体が塞がらない。** **期限が2026年9月14日であることに注意する。** 適用までに保守の窓や変更凍結で時間が要る場合、ベンダは暫定の緩和策を案内しているが、これは更新の代わりにはならないと明記している。 **侵害が疑われる場合は、更新の前に切り離す。** ベンダの手順は、影響を受けたサーバを隔離し、後の分析のためにバックアップを取り、調査・再構築・最新版の適用が済むまでオンラインに戻さない、というものである。復旧後は ScreenConnect にアクセスできる利用者を洗い直す（見覚えの無い利用者の削除、役割と権限の見直し、パスワードの変更、MFA の有効化）。

ConnectWise ConnectWise ScreenConnect のクライアント（NVD の該当範囲は 26.6.5.9742 未満）。**サーバは影響を受けない**とベンダが明記している を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-84869）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/14 です。早急な対応が推奨されます。