【ITニュース解説】CVE-2026-84869: a ScreenConnect client bypass and the spread that followed it

CVE-2026-84869は、システムをリモートで管理する際に広く使われているConnectWise ScreenConnectというツールのクライアントに発見された、非常に深刻なセキュリティ上の弱点、つまり「脆弱性」だ。この問題は、ITシステムを運用する上で、どのような点に注意し、どのようなセキュリティ対策が必要かを考える上で、システムエンジニアを目指す初心者にとっても重要な学びとなる。

この脆弱性の核心は「承認チェックの欠如」という点にある。システムエンジニアにとって、承認チェックとは、ある操作を行う前に、その操作が正当なものかどうか、操作を行うユーザーが適切な権限を持っているかどうかを確認する仕組みのことだ。例えば、重要なファイルを削除する際に「本当に削除しますか？」と確認を求められたり、特定のシステム設定を変更する際にパスワードの入力を求められたりするような、安全を確保するための重要なステップだ。しかし、このScreenConnectクライアントの脆弱性では、リモートセッション中に技術者側からファイル転送を開始した場合、通常であればホスト側、つまり操作される側のコンピューターが「このファイルを受け取っていいか？」と確認するステップを、不正に飛ばして直接ファイルを実行できてしまうという問題があった。この「確認をスキップできる」という点が非常に危険で、悪意のあるプログラムを送り込まれた場合、ホスト側が気づかないうちにそのプログラムが実行されてしまう可能性があった。ConnectWiseはこの問題を深刻度9.9と評価しており、これは非常に高い数値で、放置すれば甚大な被害につながる可能性を示唆している。

さらに重要な点は、この脆弱性がScreenConnectの「クライアント」に存在し、バージョン26.6.5未満が影響を受けるという点だ。「サーバー」は影響を受けないとされている。これは何を意味するかというと、もしあなたがScreenConnectの管理サーバーだけを最新版にアップデートしたとしても、個々のエンドポイント（デスクトクトップPCやサーバーなど、実際に管理されているコンピューター）にインストールされているクライアントソフトウェアが古いバージョンのままだと、この脆弱性は依然として残ってしまうということだ。ITシステム管理においては、サーバー側のセキュリティ対策だけでなく、クライアント側のソフトウェアや設定も、同等かそれ以上に注意深く管理する必要があるという教訓を強く示している。

実際に、セキュリティ企業のHuntressは2026年8月下旬に、複数の組織でこの脆弱性を悪用したとみられる活動を報告した。彼らは、正規の手順でインストールされていないScreenConnectクライアントや、改ざんされたクライアントを発見したのだ。攻撃者は「wscript.exe」というプログラムを使って、悪意のあるVBScript（Windowsで様々な処理を自動化するために使われるスクリプト言語）を複数実行していた。VBScriptは、悪用されればシステムを破壊したり、情報を盗み出したりすることも可能だ。さらに恐ろしいのは、この攻撃手法が、同じScreenConnectインスタンスに新たに接続するエンドポイントに対しても自動的に拡散する、「ワーム」のような挙動を示したという点だ。ワームは自己増殖し、ネットワークを通じて広がるマルウェアの一種であり、一度感染すると管理下のシステム全体に急速に被害を広げる可能性がある。

なぜこのようなリモート監視・管理（RMM）プラットフォームが悪用されやすいのかというと、システム管理者がRMMツールに、管理対象のエンドポイントで広範な実行権限を意図的に与えているためだ。RMMツールは、多数のコンピューターを一元的に管理し、ソフトウェアのインストールや設定変更、問題解決などを遠隔で行うために不可欠なツールだが、その強力な権限が悪意のある第三者に悪用されると、非常に大きな被害につながる。管理者は効率のために大きな権限を与えるが、それがそのまま攻撃者にとって都合の良い侵入経路になってしまうというジレンマがここには存在する。

この脆弱性への対策は、システムエンジニアを目指すあなたにとって、具体的なセキュリティ対策の考え方を学ぶ良い機会となるだろう。まず最も重要なのは、サーバーだけでなく、すべての管理対象エンドポイントにインストールされているScreenConnectクライアントのバージョンを正確に把握し、「棚卸し」することだ。そして、バージョン26.6.5未満のクライアントはすべて速やかに最新版にアップグレードする必要がある。これは、単にサーバーをパッチするだけでは不十分で、クライアント側まで手を広げて対策することが必須であることを示している。

一時的な対策としては、管理画面から「Administration」→「Security」→「Roles」と進み、各ロールに設定されている「TransferFiles」という権限を一時的に削除することも推奨された。これにより、ファイル転送機能が悪用されるリスクを低減できる。しかし、これはあくまで一時的な措置であり、脆弱性そのものを修正するものではないため、最終的にはアップグレードが不可欠であるとConnectWiseも強調している。

さらに、不審な活動を早期に発見するための監視も重要だ。具体的には、ScreenConnectクライアントのプロセスが「wscript.exe」を起動していないか、システムログで正当な変更記録がないにもかかわらずクライアントがインストールされていないか、そしてクライアントのバイナリファイル（実行ファイル）のハッシュ値が、ベンダーが提供している正規のファイルと一致するかどうかを確認するべきだ。ハッシュ値は、ファイルが改ざんされていないかを確認するのに用いられる、ファイル固有の値であり、正規のファイルと比較することで整合性を検証できる。また、セッション記録を確認し、ホスト側からの承認なしにファイル転送が完了している記録がないかを定期的にチェックすることも、不正な活動を発見する上で有効な手段となる。

今回のCVE-2026-84869の事例は、RMMのような管理ツールが、システムの「信頼の境界」の内側に存在し、それが悪用されると、管理者にとっても気づきにくい静かな侵入を許してしまうという現実を浮き彫りにした。システムを効率的に管理するためのアクセス権限が、皮肉にも攻撃者にとっては、気づかれずに深く侵入するための手段となってしまうのだ。だからこそ、サーバーだけでなく、クライアント側のソフトウェアに対しても、バージョン管理や設定管理といった「インベントリ管理」を徹底することが極めて重要となる。システムエンジニアは、単に機能を実現するだけでなく、そのシステムが安全に運用され続けるための対策を常に考え、実行していく責任がある。この事例は、その責任の重さと、実践的なセキュリティ対策の重要性を改めて教えてくれるものだ。