Dátum: 2026. november 15.
A feldolgozott fejlemény: a november 13-i Microsoft-elemzés és ConnectWise-frissítés.
A Microsoft november 13-i elemzése szerint támadók a ScreenConnect távoli támogatási rendszert használják jogosulatlan hozzáférések kiépítésére. A ConnectWise friss útmutatója a bővítmények ellenőrzését és a technikusok gépein futó kliensprogramok frissítését sürgeti. Magyar KKV-knál elsőként azt érdemes tisztázni, használja-e ezt az eszközt a vállalkozás vagy informatikai szolgáltatója.
Mit erősítettek meg a kutatók?
A Microsoft megerősítette a ConnectWise által jelzett rosszindulatú tevékenységet. A vizsgált támadásokban további, támadói infrastruktúrához kapcsolódó távoli elérési klienseket telepítettek, valamint az SCKit nevű kártékony eszközkészletet juttatták ügyfélgépekre.
Az eszközkészlet az informatikai technikusok munkaállomásait és hitelesített böngészős munkameneteit is célba veszi. Egy RelayTrap nevű összetevőjét arra tervezték, hogy a fertőzött ügyfélgéphez csatlakozó technikus gépére is megpróbáljon kártékony tartalmat továbbítani. A terjedési képesség leírását nem szabad minden környezetben igazolt továbbfertőzésként értelmezni.
A kezdeti bejutás vizsgálata még tart
A ConnectWise november 13-án frissített tájékoztatója külső fejlesztésű bővítményekkel kapcsolatos kockázatokra figyelmeztet. A gyártó a közleményében felsorolt bővítmények letiltását kéri, és hangsúlyozza, hogy a saját telepítésű rendszereken ezt az üzemeltetőnek kell elvégeznie.
Egy érintett bővítmény jelenléte önmagában nem bizonyít fertőzést. A kezdeti hozzáférés módjának és az események teljes kiterjedésének vizsgálata folyamatban van. ConnectWise A közleményekből magyarországi érintettség nem állapítható meg.
A javítás már létezik, de a technikusi gépeket külön kell ellenőrizni
A kapcsolódó klienshiba, a CVE-2026-84869 javítását szeptember 8-án adták ki a ScreenConnect 26.6.5 változatában. connectwise.com A gyártó szerint a 26.6.5-ös és újabb technikusi kliensek blokkolják az eszközkészlet ügyfélgépről technikusra irányuló továbbterjedési módszerét.
Ez már elérhető javítás. A felhős kezelőfelület frissítése azonban önmagában nem igazolja, hogy a technikus számítógépén futó kliens is naprakész. A kliensfrissítés és a bővítmények letiltása külön feladat; egyik sem távolítja el automatikusan a korábban kiépített jogosulatlan hozzáférést. ConnectWise
Mit kérjen egy KKV az informatikusától?
Gyakorlati első lépésként kérjen rövid írásos választ arra, milyen távoli támogatási programok vannak a céges gépeken, ki kezeli ezeket, és melyik szolgáltatói rendszerhez kapcsolódnak. ScreenConnect használatakor az ellenőrzés térjen ki a bővítményekre és minden technikusi kliens verziójára.
Érdemes áttekinteni a régi szolgáltatói fiókokat és a már szükségtelen felügyelet nélküli hozzáféréseket is. A jóváhagyott eszközök listája segít megkülönböztetni a szükséges támogatási kapcsolatokat az ismeretlen telepítésektől. Az ellenőrzésnek legyen felelőse és dokumentált eredménye.
Gyanú esetén külön csatornán induljon a vizsgálat
Az útmutatók szerint feltételezetten kompromittált gépet ne ugyanazzal a ScreenConnect-kapcsolattal vizsgáljanak vagy tisztítsanak. Más, megbízható incidenskezelési eszközt kell használni, az érintett gépek elkülönítésével és a bizonyítékok megőrzésével.
A jelszócsere önmagában nem érvénytelenít minden meglévő munkamenetet. Az incidenskezelésnek ezért a hozzáférések visszavonására és a megmaradt támadói jelenlét felszámolására is ki kell terjednie. Microsoft Security Blog
A vállalkozás számára hasznos lezárás egy rövid ellenőrzési feljegyzés: mely gépeket vizsgálták, mit javítottak, maradt-e tisztázatlan kérdés, és ki engedélyezte a normál távoli támogatás folytatását.
Források
- Microsoft – az SCKit működésének elemzése és védekezési útmutató – 2026. november 13.
- ConnectWise – aktuális vizsgálati tájékoztató és partneri teendők – ellenőrzött frissítés: 2026. november 13.
- ConnectWise – a ScreenConnect 26.6.5 biztonsági javítása – 2026. szeptember 8.