ScreenConnect: ConnectWise warnt vor Dateitransfer-Lücke
Veröffentlicht am: 10.09.2026 um 05:48 Uhr | Redaktion boerse-global.de
Die Sicherheit der Fernwartungssoftware ScreenConnect von ConnectWise steht im Fokus aktueller Analysen, nachdem Berichte über neue Schwachstellen und gezielte Angriffe im Spätsommer 2026 bekannt wurden. Während das Unternehmen bereits im Frühjahr 2026 eine kritische Sicherheitslücke geschlossen hatte, weisen neue Erkenntnisse auf fortlaufende Risiken im Bereich des Dateitransfers hin, die sowohl Cloud- als auch On-Premises-Umgebungen betreffen.
Aktuelle Risiken im Bereich des Dateitransfers
Anfang September 2026 informierte ConnectWise über ein Sicherheitsproblem, das den Dateitransfer innerhalb von ScreenConnect betrifft. Betroffen sind laut Unternehmensangaben sowohl Cloud- als auch On-Premises-Installationen.
Da ein endgültiger Software-Patch für diese spezifische Remote-Access-Problematik zum Zeitpunkt der ersten Meldungen noch ausstand, wurde die Veröffentlichung einer Lösung für die Woche ab dem 07.09.2026 in Aussicht gestellt.
Für diese Schwachstelle wurde zunächst keine CVE-Kennung vergeben. Als unmittelbare Gegenmaßnahme empfahl der Hersteller den Administratoren, die Berechtigungen innerhalb der Software anzupassen. Konkret solle unter dem Pfad Administration > Security > Roles das Recht „TransferFiles“ entzogen werden. In älteren Versionen wird dieses Recht als „TransferFilesInSession“ bezeichnet.
Beobachtete Angriffsmuster und Schadsoftware-Verteilung
Sicherheitsexperten des Unternehmens Huntress berichteten über Vorfälle im August 2026, bei denen Angreifer ScreenConnect-Instanzen zur Verteilung von Schadcode missbrauchten. Dabei wurde eine vierstufige VBScript-Kette, bestehend aus den Dateien 1.vbs bis 4.vbs, an neu verbundene Rechner übertragen.
Die Angreifer nutzten hierfür offenbar modifizierte ScreenConnect-Clients und den regulären Workflow für den Fernzugriff, was die Erkennung in verwalteten Umgebungen erschwert.
Angriffe auf Fernwartungs-Tools zeigen, wie schnell Sicherheitslücken zur Gefahr für die gesamte IT-Infrastruktur werden. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und neuen Bedrohungen Unternehmer jetzt kennen müssen. Cyber Security Report kostenlos herunterladen
Die Auswirkungen dieser Kampagne hingen stark von der auf den Zielsystemen installierten Sicherheitssoftware ab. Genannt wurden in diesem Zusammenhang Produkte von Anbietern wie Cisco AMP, CrowdStrike, Huntress, Malwarebytes, SentinelOne, Sophos und Symantec. Ob ein direkter technischer Zusammenhang zwischen diesen Angriffen und der Anfang September gemeldeten Schwachstelle im Dateitransfer besteht, konnte bisher nicht bestätigt werden.
Einordnung der kritischen Schwachstelle CVE-2026-3564
Zusätzlich zur aktuellen Lage dient die Schwachstelle CVE-2026-3564 als wichtiger Kontext für die Sicherheitsbewertung der Plattform. Diese Lücke weist einen CVSS-Wert von 9,0 auf und wird somit als kritisch eingestuft. Sie ermöglichte die Extraktion von ASP.NET Machine-Keys, was in der Folge zu Session-Hijacking und einer Ausweitung von Privilegien führen konnte.
Betroffen von CVE-2026-3564 waren ausschließlich On-Premises-Versionen von ScreenConnect vor der Version 26.1. Ein entsprechender Patch wurde bereits am 18.03.2026 bereitgestellt. Während Cloud-Instanzen automatisch durch den Anbieter geschützt wurden, mussten Betreiber eigener Server das Update manuell einspielen. Berichte über eine aktive Ausnutzung dieser speziellen Lücke lagen bis September 2026 nicht vor.
Wer die IT-Sicherheit im Unternehmen proaktiv stärken möchte, findet in diesem E-Book wertvolle Informationen zu aktuellen Bedrohungslagen und kostengünstigen Schutzmaßnahmen. Gratis E-Book: IT-Sicherheit und Bedrohungen abwenden
Empfehlungen für Administratoren und Expositionsdaten
Trotz der verfügbaren Patches für ältere Probleme bleibt die Angriffsfläche für Fernwartungslösungen erheblich. Daten von Shadowserver zeigen, dass rund 6.000 ScreenConnect-Instanzen über das Internet exponiert sind.
IT-Verantwortliche werden dazu angehalten, die Konfigurationen ihrer Instanzen regelmäßig zu prüfen und insbesondere die Rechteverwaltung für den Dateitransfer restriktiv zu handhaben, solange keine abschließenden Sicherheitsupdates für die jüngsten Meldungen implementiert sind.
Als historischer Vergleichspunkt für die aktuelle Problematik wird in Fachkreisen zudem auf die Schwachstelle CVE-2024-1709 aus dem Jahr 2024 verwiesen.
