「ScreenConnect」に暗号鍵不正取得のおそれがある脆弱性

ConnectWiseが提供するリモートアクセスツール「ConnectWise ScreenConnect」のサーバに脆弱性が確認された。脆弱性を修正するアップデートが提供されている。

同社は現地時間2026年3月17日にセキュリティアドバイザリを公開し、セッション認証の暗号処理に関連する脆弱性「CVE-2026-3564」に対応したことを明らかにした。

インスタンスごとに固有のマシンキーをサーバ設定ファイル内に保存しており、同ファイルにアクセスできる場合、認証情報を抽出されてセッション認証に悪用されるおそれがあった。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.0」と評価されており、同社は同脆弱性の重要度について「重要（Important）」とレーティングした。

同社は、マシンキーの保護機能を強化した「ScreenConnect 26.1」をリリース。攻撃の標的となるリスクが高い脆弱性であるとして優先度を「高（High）」とし、数日以内を目安にアップデートを実施するよう求めている。

（Security NEXT - 2026/03/18 ）ツイート