Una nueva falla crítica de ScreenConnect se explota activamente y CISA fija plazo de tres días
CVE-2026-84869 permite transferencias de archivos sin autorización en ConnectWise ScreenConnect. Más de 1,000 instancias siguen expuestas en internet y el parche está en la versión 26.6.5.
ConnectWise ScreenConnect arrastra una nueva vulnerabilidad crítica bajo explotación activa. CVE-2026-84869 combina gestión indebida de privilegios con ausencia de autorización, y permite a un atacante con privilegios básicos ejecutar transferencias de archivos sin autorización en ataques de baja complejidad que no requieren interacción del usuario.
El parche llegó con ScreenConnect 26.6.5. CISA emitió su alerta el 11 de septiembre de 2026 y ordenó a las agencias federales estadounidenses asegurar sus sistemas en un plazo de tres días, uno de los márgenes más cortos que la agencia aplica. ConnectWise había publicado el 7 de septiembre una mitigación temporal que consiste en deshabilitar los permisos de TransferFiles.
Mil instancias expuestas y una cadena de suministro larga
El conteo de superficie expuesta sigue alto: más de 1,000 instancias vulnerables permanecen accesibles desde internet, con 758 en Norteamérica y 180 en Europa. ConnectWise atiende a más de 100,000 proveedores de servicios de TI en el mundo, de modo que cada instancia comprometida funciona como punto de entrada hacia la cartera completa de clientes de ese proveedor.
El historial refuerza la urgencia. Desde 2024, CISA ha catalogado cuatro vulnerabilidades de ScreenConnect como explotadas activamente, y dos de ellas terminaron usadas en campañas de ransomware. El software de soporte remoto ocupa una posición privilegiada en la arquitectura de cualquier operación de TI tercerizada: acceso persistente, permisos elevados y presencia en cientos de equipos simultáneos.
La conversación pendiente con el proveedor de soporte
Para una empresa dominicana que tercerizó su mesa de ayuda o su administración de infraestructura, la pregunta operativa no es si ScreenConnect está instalado en sus equipos, sino en qué versión corre la consola del proveedor y cuándo fue parchada. El riesgo se hereda por contrato sin figurar en ningún inventario propio.
Tres acciones concretas: exigir al proveedor evidencia escrita de la versión desplegada, verificar que la consola no esté publicada en internet sin restricción de origen, y revisar registros de transferencia de archivos de las últimas dos semanas en busca de movimientos que nadie autorizó. La ventana entre la publicación del aviso y el aprovechamiento masivo de una falla de este tipo se mide en días.
Fuente: BleepingComputer, 16 de septiembre de 2026.