ScreenConnect : six prestataires compromis, au moins 286 postes le 11 novembre

Le 11 novembre 2026, vers 17 h 47 UTC, Huntress a signalé une campagne en cours contre des instances cloud de ScreenConnect, l’outil de prise en main à distance de ConnectWise. La société de cybersécurité suivait six prestataires compromis et au moins 286 postes dans 47 organisations, des totaux encore en hausse. BleepingComputer l’a publié à 22 h 56 UTC : ConnectWise confirme qu’elle enquête.

Un second accès, à côté de celui du prestataire

ScreenConnect permet à un prestataire, souvent un MSP (managed service provider, prestataire de services gérés), de dépanner à distance les ordinateurs de ses clients. Dans le récit de Huntress repris par BleepingComputer, les attaquants partent d’une instance déjà entre leurs mains et font installer, sur les postes gérés, un autre client ScreenConnect. Ce second logiciel ouvre une prise en main qui n’appartient plus à l’instance légitime du prestataire.

Huntress n’a pas établi comment l’instance du prestataire est prise au départ. La télémétrie qu’elle décrit oriente vers des identifiants compromis et des sessions d’assistance détournées. Aucun identifiant CVE n’est cité pour cette campagne, et ConnectWise n’annonce pas de correctif logiciel dans la déclaration rapportée le 11 novembre.

Le poste du technicien, un risque non expliqué

Huntress alerte sur un scénario plus lourd : le poste d’un technicien pourrait être compromis au moment où il ouvre une session ScreenConnect vers un appareil client déjà infecté. BleepingComputer écrit que le mécanisme de ce retour n’est pas établi, faille logicielle ou détournement d’une fonction prévue. Aucun numéro de version corrigée n’accompagne l’alerte.

Ce que ConnectWise a demandé le 11 novembre

We are aware of reports of malicious activity affecting a limited number of ScreenConnect partners and are actively investigating.

ConnectWise a donné cette phrase à BleepingComputer. Elle n’était pas, au moment de la consultation, affichée sur le centre de confiance de l’éditeur. Dans le même échange, ConnectWise demande à ses partenaires de ne pas ouvrir de session interactive vers un appareil suspect, d’enquêter avec d’autres outils de sécurité, de revoir l’activité des comptes, de révoquer les sessions en cours, de réinitialiser les identifiants depuis un appareil de confiance et de vérifier l’authentification multifacteur. L’éditeur a ajouté que la suite passerait par ce centre de confiance.

La page du centre de confiance et la liste des bulletins de sécurité, consultées dans la nuit du 11 au 12 novembre 2026, ne montraient pas d’avis daté du 11 novembre sur cette campagne. Le bulletin ScreenConnect le plus récent encore en tête de cette liste reste celui du 8 septembre 2026, sur un transfert de fichiers pendant une session. Ce n’est pas le fait du jour.

D’autres prestataires peut-être touchés plus tôt

Huntress a dit à BleepingComputer que des étiquettes posées en séquence par les attaquants suggèrent que d’autres prestataires ont pu être compromis avant le 11 novembre. Elle invite les utilisateurs de ScreenConnect à consulter l’historique des commandes lancées depuis l’instance, même sans alerte reçue. Les adresses et identifiants techniques listés par le média ne sont pas repris ici : le contrôle utile est celui de cet historique, dans la console du prestataire.

Le même article signale un échantillon plus ancien, déposé le 25 juillet 2026, qui reprenait l’un des identifiants cités par Huntress et se présentait comme un document de la Social Security Administration. BleepingComputer ne conclut pas qu’il s’agit de la même campagne.

Deux dossiers ConnectWise déjà distincts

KLYNLABS a déjà traité, le 8 septembre 2026, deux problèmes ScreenConnect qui ne sont pas celui-ci : une faille de transfert de fichiers alors sans correctif, et une campagne séparée de clients installés par ingénierie sociale, avec des scripts VBScript. Rien dans le récit du 11 novembre ne rattache la vague du jour à ces scripts ni à ce défaut de transfert.

Autre produit, autre date : le 15 octobre 2026, l’application ConnectWise Cloud Backup a servi à joindre au moins 173 tenants Microsoft 365, selon Huntress. ConnectWise n’a pas relié cette affaire à la campagne ScreenConnect dans la déclaration du 11 novembre. Un prestataire touché par l’une n’est pas, sur la foi de ces textes, touché par l’autre.

Sources

Lawrence Abrams, BleepingComputer, 11 novembre 2026, 22 h 56 UTC. Les déclarations de Huntress et de ConnectWise citées dans cet article viennent de cette page.

ConnectWise Trust Center et liste des bulletins de sécurité, consultés le 12 novembre 2026 : pas d’avis daté du 11 novembre. Le bulletin ScreenConnect en tête de liste reste celui du 8 septembre 2026.