ConnectWise「ScreenConnect」クライアントに重大な脆弱性、米CISAが悪用確認カタログに追加し緊急対処を要求

要点

• リモートアクセス製品「ConnectWise ScreenConnect」のクライアントにおいて、不適切な権限管理と認可の不備に関する脆弱性「CVE-2026-84869」が判明した。

• 特定の状況下で、接続先ホストの承認や認可を受けることなく、アクティブなリモートセッションを通じてファイルの転送および実行が行われる恐れがある。

• 本脆弱性はクライアント側に起因するものであり、ScreenConnectのサーバー側ソフトウェアは影響を受けないとされている。

• 採番組織であるConnectWiseによるCVSS v3.1の深刻度スコアは「9.9（CRITICAL）」と極めて高く評価されている。

• 米CISAは2026年9月11日付で本脆弱性を悪用確認済みカタログに追加し、9月14日までの迅速な対策適用を求めている。

• リモートデスクトップソフトウェアを手掛ける米ConnectWiseの「ScreenConnect」クライアントコンポーネントにおいて、深刻な権限管理および認可の欠落に関する脆弱性「CVE-2026-84869」が確認された。米国の脆弱性データベース「NVD（National Vulnerability Database）」やベンダーの公開情報によると、特定条件下でアクティブなセッションを通じて無認可のファイル転送や実行が可能になるという。これを受け、米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年9月11日に本脆弱性を悪用確認済みカタログに追加し、短期間での対策適用を指示している。

ホストの承認を経ずにファイル転送や実行が許可される恐れ

公開された脆弱性情報によると、本件は不適切な権限管理（Improper Privilege Management）および認可の欠落（Missing Authorization）に起因して発生する。

ScreenConnectのクライアントにおいて特定の条件が満たされた場合、確立されているアクティブなリモートセッションを通じて、本来必要とされる認可や接続先（ホスト）の確認を得ることなく、ファイルが転送および実行される可能性があるという。一方、ConnectWiseは本脆弱性についてクライアント側に限定された事象であるとしており、ScreenConnectのサーバー側システム（ScreenConnect servers）は影響を受けないことを明らかにしている。

ベンダー評価による深刻度スコアは「9.9 CRITICAL」

本脆弱性に対し、CVE番号の採番組織（CNA：CVE Numbering Authority）であるConnectWiseは、セキュリティ脆弱性の深刻度を評価する標準規格「CVSS v3.1」に基づく基本スコアを「9.9（CRITICAL：緊急）」と算定した。

詳細な評価ベクター（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）によると、攻撃元区分はネットワーク経由（AV:N）、攻撃条件の複雑さは低（AC:L）、必要な特権レベルは低権限（PR:L）で、ユーザーの操作や関与なし（UI:N）に攻撃が成立すると評価されている。さらに、影響が他の権限範囲に及ぶスコープ変更（S:C）を伴い、機密性（C:H）、完全性（I:H）、可用性（A:H）のすべての指標において「高（High）」の影響を与える可能性があるとされた。なお、現時点でNISTによるNVD独自のスコア評価は確定しておらず、未提供（N/A）と案内されている。

米CISAが悪用カタログ（KEV）へ登録、9月14日までの対応を要求

米国のサイバー防衛を担うCISAは、2026年9月11日付で本脆弱性を「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities Catalog：KEV）」に登録した。

CISAは連邦政府機関をはじめとする対象組織に対し、登録からわずか3日後となる2026年9月14日を対処期限（Due Date）に指定している。要求されている対応内容として、ベンダーの指示に沿った緩和策を適用することに加え、リスクに応じた更新を義務付ける拘束的運用指令「BOD 26-04」や「フォレンジック・トリアージ要件」への準拠が挙げられている。また、クラウドサービス環境におけるBOD 26-04のガイダンス適用や、緩和策が適用できない場合には製品の使用を停止することが明記された。

ベンダーの速報とセキュリティ企業によるアドバイザリ

ConnectWiseは2026年9月8日付でセキュリティ速報（2026-09-08-screenconnect-bulletin）を発行しているほか、公式のアドバイザリ一覧ページやGitHub上の開示リポジトリを通じて関連情報を公開している。

また、NVDの参照情報には、セキュリティ企業Huntressが公開した「不正なScreenConnect導入（rogue-screenconnect-installations）」に関する第三者アドバイザリへのリンクも含まれている。米政府機関やベンダーによる情報公開が進んでおり、各関係組織において速やかな状況確認と対応が行われている。