Wprowadzenie do problemu / definicja
ScreenConnect to popularna platforma do zdalnego dostępu i administracji, szeroko wykorzystywana przez zespoły IT, dostawców usług zarządzanych oraz działy wsparcia technicznego. Najnowsza podatność oznaczona jako CVE-2026-3564 dotyczy sposobu przechowywania kluczy maszynowych używanych do ochrony i walidacji danych sesyjnych, co stwarza poważne ryzyko dla bezpieczeństwa instancji on-premise.
Problem ma charakter krytyczny, ponieważ ujawnienie materiału kryptograficznego może umożliwić nieautoryzowane operacje w obrębie aplikacji, w tym przejęcie aktywnych sesji, fałszowanie zaufanych danych oraz potencjalną eskalację uprawnień.
W skrócie
Podatność CVE-2026-3564 otrzymała ocenę CVSS 9.0 i dotyczy wersji ScreenConnect wcześniejszych niż 26.1. Sedno problemu polega na tym, iż wcześniejsze wydania przechowywały unikalne klucze maszynowe instancji w plikach konfiguracyjnych serwera, co w określonych scenariuszach mogło prowadzić do ich wycieku.
- Dotknięte są wersje ScreenConnect starsze niż 26.1.
- Największe ryzyko dotyczy wdrożeń lokalnych.
- Producent wprowadził w wersji 26.1 szyfrowane przechowywanie i zarządzanie kluczami.
- Środowiska chmurowe zostały zabezpieczone po stronie dostawcy.
Kontekst / historia
Podatności związane z kluczami maszynowymi ASP.NET od lat są uznawane za szczególnie niebezpieczne. Tego typu klucze odpowiadają za podpisywanie i walidację różnych danych chronionych przez aplikację, takich jak tokeny, wartości sesyjne oraz inne struktury wykorzystywane do utrzymania zaufania pomiędzy klientem a serwerem.
Jeżeli taki materiał kryptograficzny zostanie ujawniony, napastnik może próbować tworzyć lub modyfikować dane w sposób akceptowany przez aplikację jako prawidłowy. W przypadku ScreenConnect producent wskazał, iż wcześniejsze wersje przechowywały unikalne klucze instancji w konfiguracji serwera, co nie oznacza automatycznie zdalnego kompromitowania każdej instalacji, ale wyraźnie zwiększa ryzyko w razie naruszenia hosta, wycieku kopii zapasowych albo błędnej konfiguracji uprawnień.
Analiza techniczna
CVE-2026-3564 została sklasyfikowana pod CWE-347, czyli niewłaściwą weryfikacją podpisu kryptograficznego. W praktyce problem nie ogranicza się do samego algorytmu, ale dotyczy ochrony sekretów wykorzystywanych do generowania i walidacji danych, którym aplikacja ufa.
W architekturze opartej na ASP.NET klucze maszynowe stanowią podstawę integralności i autentyczności chronionych danych. jeżeli atakujący zdobędzie taki klucz, może próbować generować poprawnie podpisane wartości albo modyfikować istniejące struktury tak, aby serwer uznał je za legalne. W kontekście ScreenConnect może to prowadzić do uzyskania nieautoryzowanego dostępu do funkcji administracyjnych, przejęcia aktywnych sesji lub wykonywania działań w imieniu uprawnionego użytkownika.
Kluczowym problemem wcześniejszych wersji było przechowywanie tego materiału w plikach konfiguracyjnych serwera. Taki model staje się niebezpieczny zwłaszcza wtedy, gdy dochodzi do częściowej kompromitacji hosta, wycieku backupów, nadmiernych uprawnień do katalogów aplikacji lub wtórnego dostępu po innym incydencie bezpieczeństwa. Wersja 26.1 zmienia ten model, wprowadzając szyfrowane przechowywanie i zarządzanie kluczami maszynowymi, co znacząco utrudnia ich praktyczne wykorzystanie po przejęciu plików konfiguracyjnych.
Konsekwencje / ryzyko
Z perspektywy obronnej największe ryzyko dotyczy środowisk on-premise, gdzie ScreenConnect pełni rolę uprzywilejowanego narzędzia administracyjnego. Kompromitacja takiego systemu może mieć efekt kaskadowy i otworzyć drogę do dalszej penetracji infrastruktury.
- przejęcie aktywnych sesji zdalnych,
- eskalacja uprawnień w obrębie instancji,
- lateral movement do innych systemów,
- nadużycie kont administracyjnych,
- wdrożenie ransomware lub utrwalenie obecności napastnika.
Ryzyko rośnie szczególnie w organizacjach, które przechowują backupy konfiguracji w słabo chronionych lokalizacjach, nie ograniczają dostępu do plików aplikacyjnych, opóźniają aktualizacje lub nie monitorują logów pod kątem nietypowej aktywności sesyjnej.
Rekomendacje
Najważniejszym działaniem jest niezwłoczna aktualizacja wszystkich instalacji on-premise do ScreenConnect 26.1 lub nowszej wspieranej wersji. W praktyce organizacje powinny potraktować tę zmianę priorytetowo, zwłaszcza jeżeli serwer jest dostępny z internetu lub obsługuje krytyczne procesy administracyjne.
- zweryfikować wersję wszystkich instancji ScreenConnect,
- przeprowadzić pilną aktualizację środowisk lokalnych,
- ograniczyć dostęp do plików konfiguracyjnych, katalogów aplikacji i kopii zapasowych,
- sprawdzić, czy backupy nie zawierają wrażliwego materiału dostępnego dla nieuprawnionych kont,
- przeanalizować logi pod kątem nietypowych logowań, zmian uprawnień i anomalii sesyjnych,
- skontrolować konta administracyjne zgodnie z zasadą najmniejszych uprawnień,
- rozważyć rotację powiązanych sekretów oraz przegląd ekspozycji serwera,
- wdrożyć dodatkowe reguły detekcji w SIEM i EDR.
W środowiskach o podwyższonym poziomie zagrożenia warto również przeprowadzić przegląd oznak potencjalnej kompromitacji z ostatnich tygodni lub miesięcy, zwłaszcza jeżeli serwer współdzielił infrastrukturę z innymi systemami o niższym poziomie zaufania.
Podsumowanie
CVE-2026-3564 pokazuje, iż bezpieczeństwo aplikacji zależy nie tylko od logiki biznesowej i ochrony sieciowej, ale również od adekwatnego zabezpieczenia materiału kryptograficznego. W przypadku ScreenConnect problem z przechowywaniem kluczy maszynowych mógł prowadzić do nadużyć związanych z walidacją danych sesyjnych, a w konsekwencji do przejęcia kontroli nad instancją.
Dla organizacji korzystających z instalacji lokalnych oznacza to konieczność pilnej aktualizacji, przeglądu dostępu do konfiguracji i backupów oraz wzmożonego monitorowania nieautoryzowanej aktywności. To przykład podatności, której skutki mogą być znacznie poważniejsze niż sugeruje sam mechanizm techniczny, ponieważ dotyczy narzędzia o wysokim poziomie uprzywilejowania w środowisku IT.
Źródła
- Critical ScreenConnect Vulnerability Exposes Machine Keys — https://www.securityweek.com/critical-screenconnect-vulnerability-exposes-machine-keys/
- ScreenConnect 26.1 Security Hardening — https://www.connectwise.com/company/trust/security-bulletins/2026-03-17-screenconnect-bulletin
- CVE-2026-3564 — https://www.cve.org/CVERecord?id=CVE-2026-3564
- CWE-347: Improper Verification of Cryptographic Signature — https://cwe.mitre.org/data/definitions/347.html
- CVSS v3.1 Specification Document — https://www.first.org/cvss/v3-1/specification-document
