第三者拡張機能が認証の迂回路になった
ConnectWiseの暫定評価では、同社基盤やScreenConnect本体の脆弱性が最初の入口になった証拠は確認されていない。攻撃者は、パートナー環境へ追加された独立開発の拡張機能を悪用し、許可されていない遠隔操作ソフトを配布した可能性がある。調査は続いており、初期侵入の全体像は確定していない。[1]
無効化対象はLabtech Plus、RMM Plus、RMM+、RMM Plus Password Link、RMM+ Password Linkの五つである。ConnectWiseは、これらのいずれかが入ったパートナー環境を約400件確認したが、約400件は侵害件数ではなく、対象拡張機能の導入環境数だ。 拡張機能が存在するだけでは侵害を示さない。[1]
NHS Englandの警告も、攻撃者が第三者拡張機能を通じて複数のクラウド環境へ入り、遠隔命令を実行したと説明する一方、初期侵入と全体の影響は未確認としている。脅威レベルはMediumだが、将来の悪用は現実的に起こり得ると評価した。[3]
接続した技術者端末へ移る仕掛けがある
攻撃後に展開されたとされるSCKitは、感染した端末から、その端末へ接続した技術者のワークステーションへ移り、さらに次の管理対象へ広がることを狙う。ConnectWiseは、ScreenConnect 26.6.5以降が、この「端末から技術者」への試行を遮断すると確認した。26.6.5は9月8日にCVE-2026-84869の修正版として公開されていた。[1]
ただし、サーバーやクラウドコンソールが新しくても、個々の技術者クライアントが更新済みとは限らない。ConnectWiseは全技術者端末の実バージョンを確かめるよう求めている。更新が防ぐのはSCKitの特定の拡散手法であり、第三者拡張機能からの初期侵入、別の不正ソフト配布、すでに成立した侵害を一括して解消するわけではない。
eSentireは、SCKitがブラウザとScreenConnectのセッショントークンを盗み、永続化する機能を持つと報告した。疑わしい端末への対話型ScreenConnect接続を避け、隔離と別手段での駆除を先に行うよう勧めている。[2]
オンプレミスは自分で無効化する必要がある
クラウド環境ではConnectWiseが対象拡張機能を無効化した。一方、オンプレミス版は同社が代行できない。運用者は全インスタンスで対象拡張機能を探し、直ちに無効化し、再び有効になっていないことも確認する。さらに予防策として、ITBoost Integration、RepairShopr Integration、Guest Session Starterも無効化が勧められている。[1]
対応は、疑わしい接続を止め、拡張機能を無効化し、全技術者クライアントを26.6.5以降へ更新する。その後、信頼できる端末からセッションを失効する。パスワード変更だけでは既存セッションが残る場合があるため、ScreenConnectと連携ID基盤の両方で明示的に失効させ、多要素認証を確認する。
その後、Run Command履歴、拡張APIの操作、管理者アカウント、権限変更、Toolbox記録、未承認の遠隔操作ソフトを調べる。対象端末は隔離し、予約済みの不正命令やツールを削除し、永続化がないと確認してから接続を戻す。停止、更新、調査、復旧を一つの作業にまとめず、各段階の完了条件を分けるべきだ。
遠隔保守の信頼境界を見直す
MSPや社内IT部門は、一つの技術者アカウントや端末から多数の顧客・拠点へ接続できる。効率は高いが、技術者端末が侵害されると、その接続権限が攻撃の倍率になる。遠隔保守ツールを通常の業務アプリと同じ更新優先度で扱うのでは足りない。
具体的には、技術者端末を一般のメール閲覧やWeb作業から分離し、接続先ごとに権限を絞る。拡張機能は導入者、提供元、バージョン、必要な権限、最終確認日を台帳にし、使っていないものを外す。遠隔操作の実行履歴をツール外のログ基盤へ送り、ScreenConnect自体が疑われても追跡できるようにする。
顧客との契約でも、第三者拡張機能を追加する条件、事故時の通知、ログ保存期間、代替調査手段を決めておく。サービス提供者がクラウド側を止めても、オンプレミス側まで自動で止まるとは限らない。責任範囲を製品名ではなく運用単位で確認する必要がある。
平時の訓練では、ScreenConnectを停止した状態でも、EDRの隔離、ログ回収、認証情報の交換、顧客への連絡が進められるかを試す。代替手段が同じID基盤や同じ技術者端末に依存していれば、事故時に同時に使えなくなる。緊急用端末と連絡先を別に保管し、誰が全セッションを失効できるかも決める。便利な一つの管理面へ権限を集めるほど、管理面を失った場合の手作業を準備する価値が高まる。
影響説明では導入と侵害を分ける
顧客や経営層へ報告する際は、「対象拡張機能が入っていた」「不審な操作が見つかった」「端末で悪性ファイルを確認した」「データへのアクセスを確認した」を分ける。約400環境という数字を、約400社が被害を受けたと置き換えてはいけない。
一方で、拡張機能を無効化した事実だけで調査完了とも言えない。ConnectWise自身が、無効化とクライアント更新は既存の不正アクセスを取り除かないと明記している。[1] 端末・ID・遠隔操作ログを照合し、分からない範囲を残したまま安全宣言をしないことが信頼につながる。
外部の調査会社へ依頼する場合も、調査端末からScreenConnectへ接続しない条件を最初に共有する。報告書には、調べた端末と期間、利用したログ、取得できなかった証拠を残す。未確認と問題なしを分ければ、追加調査が必要になったときも範囲を絞れる。
まとめ
- ScreenConnect本体の侵害が確定したのではなく、独立開発の拡張機能を悪用した活動として調査が続いている。
- 疑わしい端末をScreenConnectで調べると技術者端末へ広がる恐れがある。EDRなど別経路を使う必要がある。
- 拡張機能の無効化、技術者クライアント更新、セッション失効、既存侵害の調査を別々に完了させる。
出典・参考
- ConnectWise「ScreenConnect security advisory: Precautionary extension disabling and partner guidance」最終更新2026年11月13日 [1]
- eSentire「Ongoing Attacks Targeting ScreenConnect Extensions」2026年11月12日 [2]
- NHS England「ConnectWise Releases Security Advisory Following Unauthorised Access to ScreenConnect Environments」2026年11月12日 [3]
読者のコメント (0)
コメントを残す