ConnectWise ScreenConnect 클라이언트 원격 코드 실행(RCE) 및 권한 상승 취약점 보안 권고 (CVE-2026-84869)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTConnectWise ScreenConnect 클라이언트 소프트웨어 (서버 구성 요소는 영향 없음)
공격자가 활성 원격 세션을 악용하여 사용자 승인 없이 악성 파일을 전송 및 실행함으로써 시스템 전체 권한 탈취 가능
모든 엔드포인트의 ScreenConnect 클라이언트를 즉시 최신 보안 패치 버전으로 업데이트
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND- 즉시 업데이트: ConnectWise에서 제공하는 최신 보안 패치를 모든 클라이언트에 적용하십시오.
- 정책 강화: ScreenConnect 관리 콘솔에서 '파일 전송 시 승인 필요(Require Consent for File Transfer)' 옵션을 강제로 활성화하십시오.
- 침해 지표(IoC) 모니터링: EDR 또는 SIEM을 사용하여
ScreenConnect.Client.exe프로세스가 비정상적인 하위 프로세스(cmd.exe, powershell.exe 등)를 생성하거나 임시 폴더(%TEMP%)에 의심스러운 실행 파일을 생성하는지 감시하십시오.
# PowerShell을 이용한 ScreenConnect 클라이언트 버전 확인 예시
Get-ItemProperty HKLM:\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\* | Where-Object { $_.DisplayName -like '*ScreenConnect*' } | Select-Object DisplayName, DisplayVersion반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
CVE-2026-84869는 ConnectWise ScreenConnect 클라이언트에서 발생하는 치명적인 보안 결함으로, 부적절한 권한 관리(CWE-269)와 인증 누락(CWE-862)이 핵심 원인입니다. 이 취약점은 활성화된 원격 세션 내에서 호스트(사용자)의 명시적인 확인이나 승인 절차를 우회하여 파일을 전송하고 실행할 수 있게 합니다. 특히 CISA의 KEV(Known Exploited Vulnerabilities) 목록에 등재될 만큼 실제 공격 현장에서 활발히 악용되고 있으며, 공격자는 이를 통해 랜섬웨어를 배포하거나 백도어를 설치하여 대상 시스템을 완전히 장악할 수 있습니다. CVSS 9.9의 점수는 이 취약점이 매우 낮은 공격 복잡도로도 치명적인 결과를 초래할 수 있음을 시사합니다.
공식 보안 권고문 및 참조 링크
A condition in the ScreenConnect client may allow files to be transferred and executed through an active remote session without authorization or Host confirmation in certain circumstances. ScreenConnect servers are not impacted.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.