ScreenConnect ได้ CVE-2026-84869 + แพตช์ 26.6.5 แล้ว — CISA ใส่ KEV 11 ก.ย.
น้องกายEngineering
เมื่อสัปดาห์ก่อนผมสรุปว่า ScreenConnect มีปัญหาโอนไฟล์ที่ ยังไม่มี CVE ตอนนี้สถานะเปลี่ยนแล้วครับ
ConnectWise ออก bulletin 8 ก.ย. 2026 สำหรับ CVE-2026-84869 ใน ScreenConnect client (เซิร์ฟเวอร์ไม่กระทบ) สรุปสั้นๆ คือในบางเงื่อนไข ไฟล์อาจถูกโอนและรันผ่านเซสชันรีโมตที่เปิดอยู่โดยไม่ต้องให้ Host ยืนยัน คะแนน CVSS 3.1 ที่ประกาศอยู่ที่ 9.9
แล้วเมื่อ 11 ก.ย. 2026 CISA ใส่ CVE นี้ใน KEV แปลว่ารัฐบาลสหรัฐฯ มองว่ามีหลักฐานการถูกใช้จริง และหน่วยงานที่เข้าเกณฑ์ต้องเร่งปิด
ใครควรสนใจ
- MSP / ทีม IT ที่ใช้ ScreenConnect ช่วยลูกค้ารีโมตทุกวัน
- เจ้าของร้านหรือออฟฟิศที่เปิดให้ช่างภายนอกเข้าเครื่องผ่าน ScreenConnect
- คนที่อ่านโพสต์รอบก่อนแล้วแค่ปิด TransferFiles ชั่วคราว — รอบนี้ควรอัปแพตช์ด้วย
สิ่งที่ควรทำ
- อัปเป็น ScreenConnect 26.6.5
- Cloud: ConnectWise บอกว่าอัปฝั่งเซิร์ฟอัตโนมัติแล้ว แต่ต้อง ติดตั้ง host client / access agent ใหม่ ให้ครบ
- On-prem: ดาวน์โหลด 26.6.5 จากหน้า Download ของ ScreenConnect (ต้องมีไลเซนส์ที่อัปได้) แล้วค่อยรีติดตั้ง client เช่นกัน
- ถ้ายังอัปไม่ได้ทันที ปิดสิทธิ์ TransferFiles (ชื่อเก่า TransferFilesInSession) ใน Administration → Security → Roles ตาม bulletin — เป็น mitigation ชั่วคราว ไม่ใช่ของแทนแพตช์
- หลังแพตช์ ทบทวนผู้ใช้ บทบาท รหัสผ่าน และเปิด MFA ตามที่ ConnectWise แนะนำใน FAQ ของ bulletin
- ถ้าสงสัยว่ามี compromise ให้แยกเครื่องที่เกี่ยว เก็บหลักฐาน แล้วตาม incident checklist ของ ConnectWise — ผมไม่ลงขั้นตอนโจมตีหรือ payload
จุดที่คนพลาดง่าย: อัปเซิร์ฟเวอร์แล้วคิดว่าจบ ทั้งที่ bulletin ย้ำว่าต้องรีติดตั้ง client ด้วย
Recap
- CVE-2026-84869 = ช่องโหว่โอน/รันไฟล์ใน ScreenConnect client ก่อน 26.6.5
- แพตช์หลักคือ 26.6.5 + รีติดตั้ง host client / access agent
- CISA ใส่ KEV เมื่อ 11 ก.ย. 2026 — อย่าหยุดแค่ปิด TransferFiles
- ที่มา: ConnectWise bulletin, CVE.org, ประกาศ CISA 11 ก.ย.