CVE-2026-84869 : ScreenConnect CVSS 9.9 exploité activement

Une faille critique dans l'outil de support à distance le plus répandu en entreprise

ConnectWise ScreenConnect est l'un des outils d'accès à distance les plus utilisés par les équipes IT et les prestataires de services managés (MSP) dans le monde. C'est précisément cette omniprésence qui rend la divulgation de CVE-2026-84869, le 8 septembre 2026, particulièrement préoccupante : toute version antérieure à 26.6.5 du client ScreenConnect est affectée par une vulnérabilité critique permettant l'exécution de code à distance (RCE) sans autorisation préalable de la machine cible.

La faille a reçu un score CVSS v3.1 de 9.9 — le score maximal théorique étant 10.0. Elle est classée sous deux faiblesses CWE : CWE-269 (gestion incorrecte des privilèges) et CWE-862 (autorisation manquante). En pratique, ces deux faiblesses combinées signifient qu'un attaquant disposant d'un accès à une session ScreenConnect peut transférer et exécuter des fichiers sur la machine cliente sans que l'utilisateur hôte ne reçoive ou n'approuve aucune demande de confirmation. La faille se situe exclusivement dans le client ScreenConnect — les serveurs ne sont pas directement affectés par ce vecteur.

Le mécanisme d'exploitation est relativement simple à mettre en œuvre pour un attaquant expérimenté. Lors d'une session ScreenConnect active (session de support ou d'accès), le canal de transfert de fichiers ne vérifie pas correctement les autorisations avant d'accepter et d'exécuter des fichiers envoyés par le technicien connecté. Un acteur malveillant qui a compromis un compte de technicien — ou qui opère un serveur ScreenConnect rogue — peut ainsi déposer un exécutable ou un script malveillant sur la machine du client et le lancer, sans aucune alerte côté client.

ConnectWise a publié le correctif (version 26.6.5) le jour même de la divulgation publique, le 8 septembre 2026. L'entreprise a également fourni une mesure d'atténuation temporaire pour les organisations ne pouvant pas patcher immédiatement : dans l'interface d'administration ScreenConnect, naviguer vers Administration, puis Sécurité, puis Rôles, et décocher la permission TransferFiles pour chaque rôle configuré. Cette mesure désactive la fonctionnalité de transfert de fichiers pour toutes les sessions, bloquant le vecteur d'attaque principal au prix d'une perte de fonctionnalité pour les techniciens légitimes.

Le passage à l'exploitation réelle a été fulgurant. Le 11 septembre 2026 — soit seulement trois jours après la divulgation — CISA a ajouté CVE-2026-84869 à son catalogue des Vulnérabilités Connues Exploitées (KEV), confirmant que la faille était activement utilisée dans des attaques réelles. Pour les agences fédérales américaines couvertes par la Binding Operational Directive 26-04, CISA a fixé une date limite de remédiation au 14 septembre 2026, offrant une fenêtre de correction de seulement trois jours supplémentaires après l'ajout au KEV.

La société de cybersécurité Huntress a été parmi les premières à documenter des incidents concrets. Ses chercheurs ont identifié trois cas distincts où des acteurs malveillants ont exploité CVE-2026-84869 pour distribuer des payloads VBScript malveillants sur des systèmes nouvellement connectés à des sessions ScreenConnect. Ces scripts servaient dans au moins un cas de dropper pour un second stade d'infection — probablement un infostealer ou un outil d'établissement de persistance. Huntress a également observé une activité de type « worm-like » impliquant des clients ScreenConnect non légitimes se propageant de machine en machine, suggérant que certains attaquants ont commencé à automatiser l'exploitation à grande échelle.

Ce n'est pas la première fois que ScreenConnect se retrouve au cœur d'une campagne d'exploitation massive. En février 2024, CVE-2024-1709 (bypass d'authentification complet, CVSS 10.0) avait été exploitée quelques heures après sa divulgation par des groupes de ransomware dont LockBit et des opérateurs de cryptominers. Cette récidive démontre que les outils de gestion à distance sont des cibles de choix structurelles pour les attaquants : ils offrent un accès légitime aux systèmes d'entreprise, s'exécutent avec des privilèges élevés, et sont présents sur des milliers de machines dans les environnements gérés par des MSP.

Les prestataires de services managés sont particulièrement exposés à l'impact de CVE-2026-84869. En compromettant un seul compte de technicien ScreenConnect ou en déployant un client rogue sur un serveur partagé, un attaquant peut potentiellement atteindre l'ensemble du parc clients d'un MSP. Ce vecteur dit « island hopping » — rebondir depuis un prestataire vers ses dizaines ou centaines de clients — est documenté comme l'une des tactiques favorites des groupes de ransomware les plus sophistiqués. Il suffit d'une seule session active avec un client non patché pour que l'exploitation soit possible.

Pourquoi CVE-2026-84869 dépasse le cas ScreenConnect

La rapidité avec laquelle CVE-2026-84869 est passée de la divulgation à l'exploitation active — trois jours — illustre l'accélération structurelle du cycle de « weaponisation » des vulnérabilités critiques. En 2020, le délai médian entre la publication d'un CVE et l'apparition d'un exploit dans la nature était de l'ordre de 15 à 20 jours. En 2026, ce délai est tombé en dessous de 72 heures pour les failles les plus critiques affectant des logiciels très répandus. Les équipes de sécurité disposent de moins en moins de temps pour tester et déployer les patchs avant d'être exposées à des attaques actives.

La catégorie « outils de gestion à distance » (RMM — Remote Monitoring and Management) est devenue l'une des surfaces d'attaque les plus prisées par les groupes APT et les opérateurs de ransomware. En 2025, l'ANSSI notait dans son rapport sur les menaces aux prestataires informatiques que 34 % des incidents de ransomware ayant touché des PME françaises avaient impliqué la compromission préalable d'un outil RMM. CVE-2026-84869 s'inscrit dans cette logique : en ciblant ScreenConnect, les attaquants visent non pas une seule organisation, mais potentiellement des dizaines de clients d'un même MSP en une seule opération.

Pour les responsables de la sécurité, cette vulnérabilité soulève une question plus large sur la gouvernance des outils RMM : comment superviser et auditer les sessions d'accès à distance sans brider l'efficacité des équipes IT ? La désactivation préventive des transferts de fichiers est une réponse immédiate, mais elle pointe vers un besoin structurel de contrôles d'accès plus granulaires, de journalisation systématique des sessions (qui s'est connecté, depuis quelle IP, avec quels transferts effectués), et d'alertes en temps réel sur les comportements anormaux lors des sessions de support.

L'ajout rapide de CVE-2026-84869 au catalogue KEV de CISA souligne également l'efficacité croissante du mécanisme d'alerte fédéral américain. Institué en novembre 2021, le KEV est devenu une référence mondiale pour la priorisation des patchs, utilisé bien au-delà des agences fédérales par les équipes de sécurité du monde entier. Sa crédibilité repose sur la rigueur de la validation (preuve d'exploitation active requise avant tout ajout) et sur la rapidité des mises à jour — moins de 96 heures entre la divulgation et l'entrée dans le KEV dans ce cas.

Ce qu'il faut retenir

• Mettre à jour ScreenConnect vers la version 26.6.5 immédiatement — si le patch ne peut être appliqué sans délai, désactiver la permission TransferFiles dans l'interface d'administration.
• CVE-2026-84869 est exploitée pour distribuer des payloads VBScript et des malwares de type worm ; auditer les logs ScreenConnect à la recherche de transferts de fichiers inhabituels ou de sessions depuis des IP inconnues.
• Les MSP doivent traiter cette vulnérabilité comme une priorité absolue : un seul compte de technicien compromis peut exposer l'ensemble du parc clients via des sessions ScreenConnect actives.