先說結論：使用 ConnectWise ScreenConnect 的管理者應核對 CVE-2026-84869 與版本 26.6.5 安全更新。ScreenConnect 是讓授權技術人員遠端支援或存取電腦的工具；遠端工作階段是技術人員與目標電腦暫時建立的操作連線。ConnectWise 於 2026 年 9 月 8 日公告，舊版用戶端在某些活動中的工作階段可能讓檔案傳送與執行缺少必要授權或主機確認；CISA 於 9 月 11 日將同一 CVE 加入已知遭利用漏洞目錄（KEV）。自架環境應升級至至少 26.6.5，雲端環境則要確認相關用戶端和存取代理依原廠指引完成更新。本文於 10 月 4 日重新查核兩個官方來源，不把漏洞描述成所有遠端支援工作階段均已遭濫用。
背景與前因：遠端支援工具常連接多台受管理電腦，因此其授權設計和更新完整性會影響較廣的維運範圍。ConnectWise 的 9 月 8 日安全公告把此議題標為高優先的安全修補，並說明問題出在 ScreenConnect 用戶端與活動工作階段的檔案傳送和執行處理。CISA 在 9 月 11 日把它列入 KEV，提供另一個需要優先處理的訊號。兩個日期是原廠公告和政府清單的收錄日期，不是本篇補刊的發表日期。KEV 說明漏洞已有利用證據，卻不會直接判定每個使用 ScreenConnect 的企業都已遭入侵；實際受害與否仍需要本地紀錄和事件調查。
原因與前置條件：原廠將 CVE-2026-84869 連結到授權缺失與權限管理問題。授權可白話理解為系統在執行敏感操作前，先確認這個使用者或工作階段是否真的有權限。ConnectWise 指出，在某些活動中的遠端工作階段，舊版可能容許檔案傳送及執行不經預期的授權或主機確認。這不是公告所說的 ScreenConnect 伺服器本身受同一弱點影響；原廠明確指出伺服器不受此問題影響。CISA 的條目也把風險描述為活動工作階段中的檔案操作。公開資料不足以推導每個受管理端點都會在沒有工作階段時遭同一方式處理，文章不提供利用或重現步驟。
影響範圍：ConnectWise 將 26.6.5 以前的 ScreenConnect 版本列為受影響，26.6.5 是公告列出的安全修補基準。對自架環境，管理者需要升級自有部署；對 ConnectWise 雲端服務，原廠表示雲端實例已由其更新，但仍提醒使用者重新安裝主機用戶端並更新存取代理。用戶端是實際參與遠端操作的程式，代理則協助維持受管理裝置的存取能力；只看到伺服器版本更新，不足以證明每個端點程式也更新完成。不同部署型態的責任不同，不能把雲端『無須自行升級伺服器』誤讀成所有後續驗證都可省略。
原廠公告的 CVSS v3.1 基礎分數為 9.9，但同時把嚴重度標為 Important，說明它需要額外的存取或工作階段條件。CVSS 是比較技術風險的標準分數，不會替企業判斷某台電腦是否曾被操作。CISA 的 KEV 收錄則顯示主管機關認定它已遭利用，需要優先處置；這也不等於每個管理者都已有異常紀錄。正確的判讀應同時包含原廠對活動工作階段的條件、產品部署方式及 CISA 的優先訊號。若只引用分數而忽略條件，可能讓讀者誤解攻擊範圍；若只強調條件，又可能低估應立即修補的必要。
你可以怎麼做：先盤點 ScreenConnect 是雲端還是自架，列出伺服器或實例版本、主機用戶端、存取代理、管理者角色和受管理端點範圍。自架環境依 ConnectWise 支援的升級路徑安裝至少 26.6.5，確認授權和現有版本是否允許直接升級，必要時依原廠說明安排中間版本。雲端環境確認服務端由原廠完成更新後，仍須按公告重新部署主機用戶端及更新存取代理。更新前保存必要設定與運作基準，更新後測試合法遠端支援、授權確認和檔案傳輸流程能否正常運作，避免把『下載補丁』當成『每個端點已完成』。
若自架環境受維護窗口限制而無法立即升級，ConnectWise 提出暫時調整角色權限的方式，降低檔案傳送能力所帶來的曝露。角色權限是決定技術人員可以在遠端工作階段執行哪些操作的設定。變更這類權限可能影響合法支援流程，應先確認誰確實需要使用，依組織審批與測試程序調整，並記錄恢復條件。原廠明確說暫時緩解不能替代 26.6.5 修補。不要將暫時停用某個權限寫成漏洞已從所有舊版用戶端消失，也不要在公開文章提供可直接濫用工作階段的操作方式。
完成更新後，再核對管理者帳號、角色、權限和既有稽核紀錄。ConnectWise 建議清理不認識的使用者、檢視角色設定、使用多因素驗證，並在有疑似入侵時依事件應變程序保存資料與調查。這些是對管理環境的防禦性檢查，不表示原廠已確認本文讀者的實例受害。若監控確實發現不預期的檔案傳送、角色異動或遠端工作階段，應交由具權限的應變人員評估，不要只憑單一版本號推斷資料已外洩。反過來說，沒有告警也不能替代完成版本和端點更新的驗證。
尚待每個組織自行回答的問題包括：哪些用戶端仍低於 26.6.5、哪些雲端代理尚未更新、哪一些角色保有檔案傳送權限，以及是否存在與正常支援工作不符的工作階段。原廠和 CISA 的公開公告不會直接列出這些本地事實。把部署類型、版本、端點更新率、暫時措施、例外原因及完成後驗證放在同一份追蹤紀錄，才能分清『服務端更新』與『使用者端更新』是否都已落地。若未來原廠調整補丁或升級路徑，也應重新查核，不長期以 9 月公告的版本號作唯一標準。
這篇補刊依 ConnectWise 9 月 8 日的 ScreenConnect 安全公告和 CISA 9 月 11 日的 KEV 條目撰寫，兩個官方來源在 10 月 4 日重新查核。已確認的處置是按部署方式更新至適用修正版、處理主機用戶端與存取代理、驗證角色與遠端工作階段紀錄；不能確認的則是任何特定讀者是否已遭利用。把產品範圍、必要前置條件與本地調查分開，才能在不誇大事故的情況下儘快完成修補與驗證。
官方來源：
- ScreenConnect 26.6.5 Security Patch — 2026-09-08 Bulletin（ConnectWise）
- Known Exploited Vulnerabilities Catalog — CVE-2026-84869（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。