ScreenConnect üzerinden MSP'lere yönelik saldırı: 48 kuruluşta en az 288 uç nokta etkilendi
Bulut tabanlı ScreenConnect panelleri kötüye kullanılarak yönetilen uç noktalara sahte uzaktan erişim istemcileri yüklendi; RMM+ eklentisindeki boş erişim anahtarı kabul eden sürümler saldırının ana giriş noktası olarak öne çıkıyor.
Kasım 2026'nın 11. gününde tespit edilen ve bulut tabanlı ScreenConnect panellerini kötüye kullanan bir kampanya, yönetilen uç noktalara sahte uzaktan erişim istemcileri yüklüyor. Huntress'in sayımına göre kampanya şimdiye kadar en az 288 uç noktaya, 48 kuruluşa ve altı yönetilen hizmet sağlayıcısına (MSP) ulaştı. Saldırganlar platformun Run Command özelliği üzerinden komut çalıştırdı ve etkilenen tüm ana bilgisayarlara 90 dakika içinde ulaştı; bunların yaklaşık üçte biri ilk on dakika içinde etkilendi.
Kullanılan yük SCKit adlı bir araç seti. Kalıcı arka kapılar kuruyor, destek oturumlarını ele geçiriyor ve ele geçirilmiş bir uç noktadan bir teknisyenin iş istasyonuna yayılabiliyor. Huntress ve ConnectWise, üçüncü taraf RMM+ eklentisini işaret ediyor: 1.0.31 ve 1.0.32 sürümleri, yöneticinin hiç yapılandırmadığı durumda boş bir erişim anahtarını kabul ediyordu. ConnectWise, yaklaşık 400 partner ortamında beş RMM+ ailesi eklentisini devre dışı bıraktı.
Blackpoint Cyber'ın incelemesi, daha önce yamalanmış bir ScreenConnect açığı olan CVE-2026-84869'un, araç setinin kullanmaya çalıştığı yolu 26.6.5 sürümündeki düzeltmenin engellediğini ortaya koydu. Yayılma yolu bu nedenle yamasız bir açığa değil, çalınmış operatör oturumlarına dayanıyor.
Partnerlere, şüpheli cihazlarla etkileşimli oturum açmamaları, etkin oturumları iptal etmeleri ve kimlik bilgilerini güvenilir bir makineden sıfırlamaları öneriliyor.
Neden önemli
Uzaktan yönetim araçlarına güvenen MSP'ler ve bu araçları kullanan kuruluşlar için risk, yalnızca yamasız açıklarla sınırlı değil; eklenti yapılandırması ve çalınmış oturumlar da doğrudan saldırı yüzeyi oluyor. Etkilenen kurumlarda ScreenConnect eklentilerinin erişim anahtarlarının kontrol edilmesi, aktif oturumların iptal edilmesi ve yönetici kimlik bilgilerinin sıfırlanması gerekiyor. Yayılmanın bir teknisyenin iş istasyonuna kadar uzanabilmesi, MSP'lerin kendi personel makinelerini de bu tehdit modeline dahil etmesini zorunlu kılıyor.
Önemli mi, abartı mı?
Bu haber gerçekten önemli mi, yoksa abartı mı? Başkalarının ne dediğini görmeden önce sen oy ver.