# ScreenConnect : six prestataires compromis, au moins 286 postes le 11 novembre

> Huntress compte dans son billet au moins 288 postes et 48 organisations. Le 12 novembre à 18 h 45 UTC, ConnectWise maintient qu’aucune faille de ScreenConnect n’explique l’accès initial.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/screenconnect-six-prestataires-286-postes-11-novembre
- Auteur : Kelvyn
- Publié le : 12 novembre 2026 (2026-11-12T00:06:39.595Z)
- Mis à jour le : 13 novembre 2026 (2026-11-13T00:11:48.582Z)
- Rubrique : Cybersécurité
- Sujets : ScreenConnect, ConnectWise, Huntress, RMM, CVE-2026-127063
- Langue : français

Le 11 novembre 2026, vers 17 h 47 UTC, Huntress a observé des attaquants qui utilisaient des consoles ScreenConnect déjà accessibles, dans le cloud, pour installer un second client sur les postes gérés. Dans le billet publié le même jour par Ben Nahorney, Susannah Matt et Lindsey O’Donnell-Welch, la société de cybersécurité compte **au moins 288 postes dans 48 organisations**, tous touchés en quatre-vingt-dix minutes, dont environ un tiers dans les dix premières minutes.

Lawrence Abrams, sur BleepingComputer, avait écrit plus tôt, à 22 h 56 UTC, que Huntress suivait six prestataires, au moins 286 postes et 47 organisations, et que le total montait encore. Le billet Huntress, lu depuis, ne reprend pas le chiffre de six prestataires. Les deux décomptes ne se remplacent pas : l’un vient de l’échange avec le média, l’autre du billet.

## L’avis ConnectWise du 12 novembre, à 18 h 45 UTC

Le centre de confiance de ConnectWise a ouvert un avis le 11 novembre 2026 à 22 h 45 UTC, puis l’a mis à jour le 12 novembre à 2 h 45 UTC et de nouveau à **18 h 45 UTC**. À cette dernière heure, l’enquête est toujours en cours. ConnectWise écrit n’avoir trouvé aucune preuve d’une compromission de son infrastructure, ni que l’accès initial ait reposé sur une faille de ScreenConnect.

L’éditeur ajoute ne pas voir l’activité dans l’environnement du partenaire après cet accès initial.

L’évaluation initiale, que l’éditeur dit encore valider, porte sur l’abus d’extensions tierces indépendantes, installées chez des partenaires, pour prendre un accès et déployer un logiciel de prise en main non autorisé. Environ **400 environnements partenaires** ont au moins une extension de la famille RMM+. ConnectWise le répète : cette présence n’établit pas une compromission. Les extensions désactivées par précaution, là où l’éditeur peut le faire, sont Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link et RMM+ Password Link. Les partenaires qui hébergent eux-mêmes ScreenConnect doivent les désactiver et ne pas les réactiver.

## CVE-2026-127063 vise l’extension, pas ScreenConnect

Le 12 novembre 2026, ConnectWise a publié **CVE-2026-127063**. L’avis décrit un secret d’API statique par défaut dans l’extension tierce RMM+ de DataComm. Un environnement qui a conservé cette valeur peut laisser un accès non autorisé aux fonctions de l’extension, y compris l’envoi de commandes vers les agents gérés. Le score annoncé est 9,3 en CVSS 4.0. Le défaut est classé CWE-1392, l’usage d’identifiants par défaut. Le serveur ScreenConnect et le client ne sont pas concernés. Aucune version corrigée de RMM+ n’est annoncée.

La fiche dit que, sur le cloud, ConnectWise a désactivé et retiré les extensions concernées, et qu’aucune action supplémentaire n’est demandée sur ce seul point. Sur site, il faut désactiver RMM+ tout de suite et ne pas le réinstaller. L’avis d’incident de 18 h 45 UTC reste plus large : il demande de vérifier que les extensions listées ne reviennent pas, y compris après cette désactivation.

Huntress, mise à jour le 12 novembre à 4 h 34 UTC, écrit que les versions 1.0.31 et 1.0.32 acceptaient une clé vide si aucune n’avait été configurée. À 18 h 45 UTC, ConnectWise dit encore évaluer ce constat. Les deux textes ne sont pas fondus en un seul mécanisme.

## Le correctif de septembre bloque une propagation, pas une console ouverte

Huntress nomme SCKit la boîte à outils poussée avec le second client. ConnectWise écrit que le passage d’un poste infecté vers le technicien qui s’y connecte est bloqué par [CVE-2026-84869](https://klynlabs.eu/articles/screenconnect-faille-non-corrigee-clients-detournes-vbscript), corrigée le 8 septembre 2026 dans le client 26.6.5. Huntress n’a pas vu cette propagation réussir. Mettre à jour la console cloud ne met pas à jour les clients des techniciens.

Cette protection ne dit pas comment l’accès initial a été obtenu. Elle n’empêche pas tout déploiement non autorisé depuis une console déjà ouverte, et elle ne retire pas une compromission déjà en place. Huntress écrit que des versions récentes, 26.6.6.9747 et 26.7.6.9783, figurent parmi les environnements vus dans l’incident.

> Les partenaires sur site doivent désactiver les cinq extensions nommées et ne pas les réinstaller. Chaque client technicien doit être en version 26.6.5 ou plus récente, vérifiée sur le poste, pas seulement dans la console. Il ne faut pas enquêter ni nettoyer un appareil suspect avec ScreenConnect. Changer les mots de passe ne révoque pas, à lui seul, les sessions déjà ouvertes.

## Deux dossiers ConnectWise qui ne sont pas celui-ci

La propagation vers le technicien renvoie au correctif du 8 septembre, déjà traité [à part](https://klynlabs.eu/articles/screenconnect-faille-non-corrigee-clients-detournes-vbscript). Le 15 octobre, [ConnectWise Cloud Backup](https://klynlabs.eu/articles/connectwise-cloud-backup-attaque-chaine-approvisionnement-microsoft-365) a touché au moins 173 tenants Microsoft 365. L’avis du 12 novembre ne relie pas ces dossiers à la prise des consoles.

## À retenir

- Huntress compte au moins 288 postes dans 48 organisations le 11 novembre 2026, à partir de 17 h 47 UTC.
- Le 12 novembre à 18 h 45 UTC, ConnectWise ne voit ni faille de ScreenConnect ni compromission de son infrastructure.
- CVE-2026-127063, notée 9,3, vise l’extension RMM+ de DataComm, et aucune version corrigée n’est annoncée.
- Le client 26.6.5 bloque une propagation vers le technicien, pas une console déjà ouverte.
- Désactiver les extensions ne retire pas un accès déjà posé sur les postes.

## Sources

Ben Nahorney, Susannah Matt et Lindsey O’Donnell-Welch, Huntress, [billet du 11 novembre 2026](https://www.huntress.com/blog/sckit-worm-rogue-screenconnect), mis à jour à 23 h 34, heure de l’Est.

ConnectWise, [avis du centre de confiance](https://www.connectwise.com/company/trust/advisories), dernière mise à jour le 12 novembre 2026 à 18 h 45 UTC. [Avis CVE-2026-127063](https://github.com/ConnectWise-Advisories/Disclosures/blob/main/CVE-2026-127063/README.md), 12 novembre 2026.

Lawrence Abrams, BleepingComputer, [11 novembre 2026, 22 h 56 UTC](https://www.bleepingcomputer.com/news/security/active-screenconnect-attacks-breach-msps-impact-dozens-of-organizations/), pour le décompte antérieur de six prestataires, 286 postes et 47 organisations.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/screenconnect-six-prestataires-286-postes-11-novembre