Top-Secured Cyber-Monitoring: unabhängige Analyse auf Grundlage der unten genannten Quellen. Top-Secured ist mit den genannten Unternehmen nicht verbunden und wird Sie niemals nach Bankdaten oder Passwörtern fragen.
ConnectWise untersucht unbefugte Zugriffe auf ScreenConnect-Umgebungen von Partnern und führt sie auf RMM+ zurück, eine Drittanbieter-Erweiterung, deren API ein Standard-Secret akzeptiert (CVE-2026-127063, CVSS 9,3). In der Cloud sind die Erweiterungen deaktiviert; On-Premises-Server müssen ihre Administratoren selbst absichern.
Was passiert ist
Am 11. November 2026 meldete ConnectWise, dass Angreifer sich unbefugten Zugang zu einigen ScreenConnect-Umgebungen von Partnern verschafft hatten. Das Fernwartungswerkzeug ist bei IT-Dienstleistern (MSPs) weit verbreitet; auf Rechnern ihrer Kunden wurde nicht autorisierte Fernzugriffssoftware installiert. Laut Huntress, das den Beginn der Aktivität gegen 17:47 UTC beobachtete, waren mindestens 288 Endgeräte in 48 seiner Kundenorganisationen innerhalb von rund 90 Minuten betroffen.
ConnectWise sieht nach eigenen Angaben keine Anzeichen für eine Kompromittierung der eigenen Infrastruktur, und der Erstzugang beruhte nicht auf einer ScreenConnect-Lücke. Die Analyse verweist auf RMM+, eine von einem Drittanbieter entwickelte Erweiterung. Deren API ist durch ein standardmäßig statisches Secret geschützt: Installationen, die es beibehalten haben, können nicht authentifizierte Anfragen annehmen, auch Befehle an verwaltete Geräte. Die Schwachstelle wird als CVE-2026-127063 (CVSS 4.0: 9,3) geführt; eine korrigierte Version gibt es noch nicht.
Wie die Angreifer vorgingen
Laut Huntress nutzten die Angreifer die Funktion Run Command cloudgehosteter ScreenConnect-Konsolen, um Befehle als SYSTEM auszuführen, ohne passende Anmeldung in den Logs. Sie setzten ein SCKit genanntes Werkzeugset ein, das einen zweiten, von ihnen kontrollierten ScreenConnect-Client, eine geplante Aufgabe TrapWatch und einen Ordner RelayTrap unter ProgramData anlegt und Sitzungscookies zu stehlen versucht. Code zur Ausbreitung auf Techniker-Arbeitsplätze wurde gefunden, erfolgreich war er laut Huntress bislang nicht. Rund 400 Partnerumgebungen hatten eine Erweiterung der RMM+-Familie installiert; ConnectWise betont, dass dies allein keine Kompromittierung belegt.
Was jetzt zu tun ist
- Erweiterungen deaktivieren: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link und RMM+ Password Link. In der Cloud hat ConnectWise das erledigt, On-Premises ist es Sache der Administratoren.
- Techniker-Clients auf 26.6.5 oder neuer aktualisieren; sie blockieren die Ausbreitungstechnik (CVE-2026-84869). Ein Update der Cloud-Konsole aktualisiert sie nicht.
- Alle ScreenConnect-Websitzungen widerrufen, ebenso die des Identitätsanbieters, Zugangsdaten zurücksetzen und MFA erzwingen: Ein Passwortwechsel allein beendet offene Sitzungen nicht.
- Nach Spuren suchen: nicht selbst ausgelöste Run-Command-Einträge, ein zweiter ScreenConnect-Client, die Aufgabe TrapWatch, der Ordner RelayTrap, Verbindungen zu 185.99.255[.]28 oder 155.94.150[.]39.
- Verdächtige Rechner nicht über ScreenConnect untersuchen, sondern über einen anderen Kanal, wie Huntress rät.
- Wenn ein Dienstleister Ihre Geräte verwaltet, fragen Sie schriftlich, ob er diese Erweiterungen nutzt und was er geprüft hat.
Unsere Einschätzung
Ein Plug-in auf einer Fernwartungskonsole erbt deren Macht über alle verwalteten Rechner und verdient dieselbe Sorgfalt wie die Konsole selbst. Führen Sie ein Inventar der installierten Erweiterungen, entfernen Sie ungenutzte und lassen Sie niemals ein Standard-Secret stehen.
Quellen
- ConnectWise Trust Center — ScreenConnect security advisory: precautionary extension disabling and partner guidance
- ConnectWise Advisories (GitHub) — CVE-2026-127063
- Huntress — SCKit worm and rogue ScreenConnect clients
- The Record — ConnectWise investigates ScreenConnect breaches after reports of incidents at nearly 50 organizations
Wie wir unsere Analysen auswählen, prüfen und schreiben →
Der Einstieg erfolgte über einen Dritten. Prüfen Sie, was Ihre Lieferanten öffentlich preisgeben — ohne Eindringen, nur öffentliche Informationen:
Sorgen, dass Ihre Server angreifbar sind? Unser Team prüft, patcht und überwacht Linux- und Cloud-Infrastrukturen rund um die Uhr.
Mit einem Experten sprechen Unsere Managed Server Services →
