ConnectWise: nuova falla ScreenConnect senza patch, rischio MSP

ConnectWise ha emesso un avviso di sicurezza il 3 settembre 2026 per una nuova vulnerabilità nel trasferimento file di ScreenConnect Remote Access, senza rendere disponibile alcuna correzione software. La società sta sviluppando una patch ufficiale che verrà rilasciata entro la settimana, ma nel frattempo gli amministratori devono intervenire manualmente sulle autorizzazioni dei ruoli — una mitigazione che degrada le funzionalità standard di supporto remoto. Il rischio è strutturale: circa 6.000 istanze di ScreenConnect sono esposte su Internet, secondo i dati di Shadowserver citati da BleepingComputer, e la piattaforma ha una storia documentata di sfruttamento rapido da parte di gruppi ransomware.

"A CVE identifier and an official fix will be issued within the week" — ConnectWise, via HelpNetSecurity

Il meccanismo della falla e la mitigazione forzata

Secondo l'avviso riportato da BleepingComputer, ConnectWise "ha identificato un problema che interessa il comportamento del trasferimento file in ScreenConnect Remote Access Support e Access sessions". Il difetto riguarda indistintamente le distribuzioni ospitate su cloud e quelle self-hosted, espandendo la superficie d'attacco a tutta la base installata.

La mitigazione temporanea imposta da ConnectWise è puramente configurativa. Gli amministratori devono accedere a Administration > Security > Roles, modificare ciascun ruolo e deselezionare l'autorizzazione TransferFiles nelle Scoped Permissions; per le versioni legacy, l'autorizzazione da revocare è TransferFilesInSession. HelpNetSecurity cita l'azienda: "This setting change does not require a version upgrade and can be applied immediately".

Il vantaggio operativo — l'applicabilità immediata senza aggiornamento software — si traduce in un costo funzionale: la disabilitazione del trasferimento file blocca uno dei flussi di lavoro fondamentali del supporto remoto, obbligando i team a trovare canali alternativi per lo scambio di dati con gli endpoint gestiti.

Il brief non specifica i dettagli tecnici del vettore di attacco né i prerequisiti per l'exploit. Non emerge se la falla possa essere innescata da un utente autenticato, da un ospite di sessione o da posizioni non autenticate; il dossier non documenta inoltre se la sola disabilitazione di TransferFiles elimini completamente il rischio o se permangano percorsi alternativi di compromissione.

La cifra dell'esposizione: 6.000 istanze visibili

I dati di Shadowserver, citati da BleepingComputer e SecNews, indicano che quasi 6.000 istanze di ScreenConnect sono esposte su Internet. Questa cifra include potenzialmente honeypot o sistemi già protetti, come precisato nel dossier, ma conserva un significato indicativo: ScreenConnect è una delle piattaforme di accesso remoto più diffuse tra i provider MSP, e la sua visibilità di rete amplifica la finestra di rischio tra advisory e correzione.

La piattaforma ha già attraversato tre cicli di aggiunta al catalogo Known Exploited Vulnerabilities (KEV) di CISA a partire da febbraio 2024, secondo BleepingComputer. Questa frequenza stabilisce un pattern che rende l'attuale gap di patch particolarmente sensibile: gli attori di minaccia hanno dimostrato capacità di sfruttamento rapido su vulnerabilità ScreenConnect precedenti, con impatti documentati su infrastrutture MSP e clienti finali.

Il CVE-2026-3564 è un altro problema: il rischio di conflazione

Un punto critico di chiarezza documentale riguarda l'identificatore CVE. Il National Vulnerability Database (NVD) registra il CVE-2026-3564 come una vulnerabilità di "cryptographic signature verification" con punteggio CVSS:3.1 9.0 CRITICAL e vettore AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H, che interessa tutte le versioni server precedenti alla 26.1. Questa falla, divulgata a marzo 2026, è tecnicamente distinta dalla nuova vulnerabilità sul trasferimento file.

La distinzione è operativamente rilevante: i sistemi di gestione delle vulnerabilità e i team di risposta agli incidenti che tracciano CVE-2026-3564 come indicatore della nuova falla commetterebbero un errore di classificazione, ritardando la corretta applicazione delle mitigazioni o addirittura l'identificazione del rischio effettivo. Il mancato assegnamento di un identificatore per la vulnerabilità attuale complica questo scenario, generando un intervallo di indeterminatezza nei workflow di security.

Cosa fare adesso

• Disabilitare immediatamente l'autorizzazione TransferFiles (o TransferFilesInSession per le versioni legacy) in tutti i ruoli Scoped Permissions di ScreenConnect, seguendo il percorso Administration > Security > Roles
• Verificare che la modifica non richieda riavvio dei servizi o aggiornamento versione per essere effettiva, e documentarne l'applicazione su tutte le istanze cloud e on-premises gestite
• Monitorare il rilascio del CVE ufficiale e della patch da parte di ConnectWise nella settimana indicata, predisponendo un piano di rollout prioritario per le istanze Internet-exposed
• Isolare nella valutazione del rischio eventuali segnalazioni su CVE-2026-3564, che non rappresenta la falla attuale ma una vulnerabilità precedente con meccanismo e impatto differenti

Un pattern ricorrente: la disclosure senza correzione

L'avviso ConnectWise si inserisce in una sequenza che non riguarda solo il vendor ma l'intero ecosistema MSP. La ripetizione di vulnerabilità ScreenConnect — bypass di autenticazione nel 2024, injection ViewState nel 2025, verifica firme crittografiche a marzo 2026, trasferimento file a settembre — costringe i provider a un ritmo di risposta che collide con la continuità operativa. Le mitigazioni configurative, puramente temporanee, diventano strutturali quando i flussi di lavoro dipendono dalle funzionalità che esse stesse neutralizzano.

La domanda che emerge dal dossier non è se ConnectWise rilascerà la patch, ma quando questa vulnerabilità verrà aggiunta al catalogo KEV di CISA — e se la finestra di tempo precedente a quella formalizzazione sarà sufficiente per i difensori. La storia recente della piattaforma suggerisce cautela: gli attori di minaccia hanno già dimostrato di non attendere la burocrazia della catalogazione.

Fonti

• https://www.bleepingcomputer.com/news/security/connectwise-warns-of-new-screenconnect-flaw-without-patch/
• https://www.helpnetsecurity.com/2026/09/07/connectwise-screenconnect-file-transfer-flaw/
• https://www.hendryadrian.com/connectwise-warns-of-new-screenconnect-flaw-without-patch/
• https://radar.offseq.com/threat/connectwise-warns-of-new-screenconnect-flaw-without-patch-bdfbf32ad4058585
• https://cybersecuritynews.com/connectwise-screenconnect-remote-access-flaw/
• https://www.secnews.gr/en/731126/eupatheia-screenconnect-connectwise-lisi/
• https://nvd.nist.gov/vuln/detail/CVE-2026-3564