أدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) ثغرة أمنية في برمجية ConnectWise ScreenConnect ضمن قائمة الثغرات المستغلة فعلياً بتاريخ 16 سبتمبر 2026. تحمل هذه الثغرة المعرف (CVE-2026-84869) وتُصنف بدرجة خطورة حرجة وفقاً لنظام التقييم (CVSS).
تنبع خطورة الثغرة من طبيعة البرمجية المخصصة لإدارة ومراقبة الأنظمة عن بعد، ما يوفر للمهاجمين قدرة على الوصول إلى الأجهزة المستهدفة وتنفيذ أنشطة خبيثة لاحقة للاختراق الأولي.
حملات الاستغلال النشطة
أظهرت عمليات المراقبة الأمنية استغلال الثغرة ضمن سلاسل هجومية متعددة المراحل. تمكن المهاجمون في إحدى الحملات المرصودة من اختراق أكثر من 80 مؤسسة باستخدام أدوات الإدارة والمراقبة عن بعد، ليتم لاحقاً توظيف أداة ScreenConnect لتنزيل برمجيات خبيثة إضافية، وسرقة بيانات الاعتماد، ورموز الجلسات، وبيانات المحافظ الرقمية.
وفي حملة منفصلة، دُمجت البرمجية مع أداة AsyncRAT بعد تثبيتها عبر مواقع تحميل برمجيات مزيفة، بهدف تأمين الوصول عن بعد وضمان استمرار تواجد المهاجمين داخل الأنظمة.
تتيح هذه التكتيكات الحفاظ على اتصال دائم بالأجهزة المخترقة، وتسهيل الحركة الجانبية داخل الشبكات لتوسيع نطاق الهجوم.
برز هذا الدمج بين الأنشطة الخبيثة والاستخدام الإداري المشروع في حملة SILENTCONNECT، حيث استخدمت أداة ScreenConnect للوصول إلى أجهزة أنظمة Windows إثر تنفيذ سلسلة هجمات تصيد عبر تعليمات PowerShell وVBScript.
إجراءات التخفيف
تحتم هذه التطورات على فرق الأمن السيبراني تطبيق إدارة دقيقة للأصول التقنية، والتحقق المستمر من عمليات التثبيت وجلسات الاتصال، ومراجعة أي استخدام غير مصرح به لأدوات الوصول عن بعد.
تتطلب الاستجابة الفعالة تحديث أنظمة ScreenConnect فوراً إلى الإصدار الآمن الموفر من شركة ConnectWise، وتقييد استخدام أدوات الإدارة عن بعد وحصرها على الأجهزة والحسابات المصرح لها، إلى جانب مراقبة الاتصالات الشبكية غير المعتادة.
تتوافق هذه الإجراءات الوقائية مع الضوابط الأساسية للأمن السيبراني (ECC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني، والتي تلزم المؤسسات بتطبيق إدارة الثغرات، وإدارة الأصول، ومراقبة الأمن السيبراني، وتحليل سجلات الأحداث كركائز أساسية لتعزيز الحماية وتخفيف التهديدات.
