رصد Top-Secured السيبراني: تحليل مستقل يستند إلى المصادر المذكورة أدناه. Top-Secured غير تابعة للشركات المذكورة ولن تطلب منك أبدًا بياناتك المصرفية أو كلمات مرورك.
تحقق ConnectWise في عمليات وصول غير مصرّح بها إلى بيئات ScreenConnect لدى شركائها، وتربطها بـ RMM+، وهي إضافة من طرف ثالث تقبل واجهتها البرمجية سرًّا افتراضيًا (CVE-2026-127063، CVSS 9.3). عُطّلت الإضافات في السحابة، أما الخوادم المحلية فتعطيلها مسؤولية مسؤوليها.
ماذا حدث
في 11 نوفمبر 2026 أعلنت ConnectWise أن مهاجمين حصلوا على وصول غير مصرّح به إلى بعض بيئات ScreenConnect لدى شركائها، وهي أداة الدعم عن بُعد الواسعة الانتشار لدى مزوّدي الخدمات المُدارة (MSP)، وثبّتوا برامج وصول عن بُعد غير مصرّح بها على أجهزة عملائهم. وبحسب Huntress، التي رصدت بدء النشاط نحو الساعة 17:47 بالتوقيت العالمي، أصيب ما لا يقل عن 288 جهازًا في 48 مؤسسة من عملائها خلال نحو 90 دقيقة.
تقول ConnectWise إنها لا ترى أي مؤشر على اختراق بنيتها التحتية، وإن الوصول الأولي لم يعتمد على ثغرة في ScreenConnect. ويشير تحليلها إلى RMM+، وهي إضافة طوّرها طرف ثالث. واجهتها البرمجية محمية بسرّ ثابت افتراضيًا: وقد تقبل التثبيتات التي أبقت عليه طلبات دون مصادقة، بما فيها أوامر تُرسل إلى الأجهزة المُدارة. وتحمل الثغرة المعرّف CVE-2026-127063 (CVSS 4.0: 9.3) ولا يوجد إصدار مصحّح حتى الآن.
كيف تصرّف المهاجمون
وفقًا لـ Huntress، استخدم المهاجمون ميزة Run Command في واجهات ScreenConnect المستضافة سحابيًا لتنفيذ أوامر بصلاحيات SYSTEM، دون أي تسجيل دخول مقابل في السجلات. ونشروا مجموعة أدوات تُدعى SCKit تثبّت عميل ScreenConnect ثانيًا تحت سيطرتهم ومهمة مجدولة باسم TrapWatch ومجلدًا باسم RelayTrap ضمن ProgramData، وتحاول سرقة ملفات تعريف الارتباط الخاصة بالجلسات. كما عُثر على شيفرة مصممة للانتشار إلى أجهزة الفنيين، لكن Huntress لم ترَها تنجح. وكانت نحو 400 بيئة شريكة تضم إضافة من عائلة RMM+، وتؤكد ConnectWise أن ذلك وحده لا يعني حدوث اختراق.
ما العمل الآن
- عطّلوا الإضافات Labtech Plus وRMM Plus وRMM+ وRMM Plus Password Link وRMM+ Password Link. قامت ConnectWise بذلك في السحابة، أما على الخوادم المحلية فالمهمة على عاتق المسؤولين.
- حدّثوا عملاء الفنيين إلى الإصدار 26.6.5 أو أحدث، فهو يمنع تقنية الانتشار (CVE-2026-84869). تحديث الواجهة السحابية لا يحدّثهم.
- ألغوا جميع جلسات ScreenConnect على الويب وجلسات مزوّد الهوية، وأعيدوا تعيين بيانات الدخول وافرضوا المصادقة متعددة العوامل: تغيير كلمة المرور وحده لا يغلق الجلسات المفتوحة.
- ابحثوا عن آثار: أوامر Run Command لم تشغّلوها، عميل ScreenConnect ثانٍ، المهمة TrapWatch، المجلد RelayTrap، اتصالات بـ 185.99.255[.]28 أو 155.94.150[.]39.
- لا تفحصوا جهازًا مشبوهًا عبر ScreenConnect: استخدموا قناة أخرى، كما توصي Huntress.
- إذا كان مزوّد خدمة يدير أجهزتكم، فاسألوه كتابيًا عمّا إذا كان يستخدم هذه الإضافات وما الذي تحقق منه.
رأينا
الإضافة المثبّتة على واجهة إدارة عن بُعد ترث سلطتها على كل الأجهزة المُدارة، ولذلك تستحق اليقظة نفسها التي تستحقها الواجهة. احتفظوا بجرد للإضافات المثبّتة، واحذفوا غير المستخدم منها، ولا تتركوا أبدًا سرًّا افتراضيًا في مكانه.
المصادر
- ConnectWise Trust Center — ScreenConnect security advisory: precautionary extension disabling and partner guidance
- ConnectWise Advisories (GitHub) — CVE-2026-127063
- Huntress — SCKit worm and rogue ScreenConnect clients
- The Record — ConnectWise investigates ScreenConnect breaches after reports of incidents at nearly 50 organizations
كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←
كان المدخل عبر طرف ثالث. تحقّق مما يكشفه مورّدوك علنًا — دون اختراق، معلومات عامة فقط:
هل تخشون أن تكون خوادمكم مكشوفة؟ يقوم فريقنا بتدقيق البنى التحتية Linux والسحابية وتحديثها ومراقبتها على مدار الساعة.
تحدّث إلى خبير خدماتنا لإدارة الخوادم ←
