# ScreenConnect : une faille sans correctif et une campagne d'attaque en cascade

> ConnectWise recense environ 6 000 instances exposées en ligne, pendant que Huntress documente une chaîne d'infection distincte via des clients ScreenConnect détournés.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/screenconnect-faille-non-corrigee-clients-detournes-vbscript
- Auteur : Kelvyn
- Publié le : 8 septembre 2026 (2026-09-08T04:25:00.000Z)
- Rubrique : Cybersécurité
- Sujets : Cybersécurité, Phishing, ScreenConnect, ConnectWise, Ransomware
- Langue : français

ScreenConnect, le logiciel de prise en main à distance édité par ConnectWise, cumule cette semaine deux mauvaises nouvelles distinctes qui n'ont pas la même origine mais qui dessinent le même constat : cet outil très utilisé par les prestataires informatiques reste une cible de choix.

## Une faille de transfert de fichiers encore sans correctif

ConnectWise a lui-même identifié un problème dans le comportement du transfert de fichiers au sein des sessions ScreenConnect Remote Access et Support, sur les déploiements cloud comme sur site. Aucun identifiant CVE ni score de gravité n'a été communiqué à ce stade, et **aucune exploitation de cette faille précise n'a été rapportée**. L'éditeur promet un correctif « plus tard cette semaine » et recommande, en attendant, de désactiver la permission « TransferFiles » dans les rôles utilisateurs via la console d'administration.

Le contexte n'aide pas à relativiser : selon le service de surveillance Shadowserver, environ 6 000 instances ScreenConnect restent exposées directement sur internet. Et trois vulnérabilités antérieures du logiciel figurent déjà au catalogue des failles activement exploitées tenu par la CISA américaine, un historique qui n'implique rien sur ce nouveau problème mais qui explique la nervosité autour de chaque nouvelle annonce.

## Une campagne distincte : des clients ScreenConnect détournés

Séparément, la société de sécurité Huntress a détaillé une campagne où des clients ScreenConnect malveillants sont installés via trois portes d'entrée différentes : une fausse arnaque au support technique passant par Quick Assist, un installeur MSI livré en pièce jointe de phishing, et un faux formulaire de remboursement se faisant passer pour Geek Squad. Ce n'est pas la faille de transfert de fichiers qui est exploitée ici, mais l'ingénierie sociale classique pour faire installer l'outil lui-même.

Une fois le client posé, une chaîne de quatre scripts VBScript s'exécute en cascade : le premier dresse un profil de la machine (RAM disponible, présence de CrowdStrike, Huntress ou SentinelOne) et écrit le résultat dans un fichier temporaire ; le deuxième télécharge une donnée depuis Dropbox en fonction de ce profil ; le troisième récupère la charge utile correspondant à l'état de la machine ; le quatrième lance un script PowerShell qui déchiffre et exécute cette charge finale. Selon l'état renvoyé par la machine, le résultat va d'un simple outil d'escalade de privilèges jusqu'au dépôt d'un mineur de cryptomonnaie.

> Huntress ne donne pas de décompte global de victimes : l'entreprise décrit « trois incidents non liés » observés en août 2026. Il s'agit donc d'un mode opératoire documenté, pas d'une vague chiffrée.

## Deux problèmes, un même produit

Il serait inexact de fondre ces deux informations en une seule : la faille de transfert de fichiers est un défaut logiciel signalé par l'éditeur lui-même, tandis que la campagne VBScript exploite la crédulité des utilisateurs pour faire installer un client ScreenConnect légitime détourné à des fins malveillantes. Elles partagent seulement le même logiciel et la même semaine d'actualité, ce qui justifie de les traiter ensemble sans les confondre.

Pour les administrateurs, la check-list du jour tient en deux points : couper la permission de transfert de fichiers en attendant le correctif, et former les équipes à se méfier des demandes de prise en main à distance non sollicitées, quel que soit le prétexte invoqué.

## À retenir

- ConnectWise n'a pas encore corrigé une faille de transfert de fichiers dans ScreenConnect ; la mitigation consiste à désactiver la permission « TransferFiles ».
- Environ 6 000 instances ScreenConnect restent exposées sur internet selon Shadowserver, un chiffre qui ne mesure pas l'exploitation mais l'exposition.
- Une campagne distincte documentée par Huntress fait installer de faux clients ScreenConnect via du phishing, puis déroule une chaîne VBScript en quatre étapes.
- Les deux informations concernent le même logiciel mais des mécanismes différents : une faille non corrigée d'un côté, de l'ingénierie sociale de l'autre.

### Sources

[BleepingComputer, « ConnectWise warns of new ScreenConnect flaw without patch »](https://www.bleepingcomputer.com/news/security/connectwise-warns-of-new-screenconnect-flaw-without-patch/)

[The Hacker News, « Rogue ScreenConnect Clients Spread Four-Stage VBScript Chain to Newly Connected Hosts »](https://thehackernews.com/2026/09/rogue-screenconnect-clients-spread-four.html)

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/screenconnect-faille-non-corrigee-clients-detournes-vbscript