ScreenConnectのRMM+拡張に脆弱性、修正版なし
ConnectWise ScreenConnectの拡張機能RMM+に、初期値のAPIシークレットのままだと外部から管理端末へコマンドを送られかねない脆弱性が公表されました。オンプレミス環境でRMM+を使う組織は、すぐ無効化して状態を確認してください。
急ぎ度: 至急
CVSS v4は9.3で、ネットワーク越しに認証なしで管理端末へコマンドを送られかねないうえ、修正版は発表されておらず、当面の対処は無効化だけだからです。
関係があるか
オンプレミスのScreenConnectにサードパーティ製拡張機能RMM+を入れている組織が対象です。RMM+を使っていない環境と、クラウド版のScreenConnectを使う組織は、対応不要です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| DataComm RMM+ extension for ConnectWise ScreenConnect | オンプレミス環境に導入している場合。初期のAPIシークレットを変えていない環境で、とくに問題になる。影響する版の範囲は示されていない | 修正版は発表されていない。無効化が当面の対処 |
| ScreenConnectのサーバーとクライアント | 影響なし | 不要 |
| クラウドで提供されるScreenConnect | ConnectWiseが該当の拡張機能を無効化し、削除済み | 対応不要 |
確かめ方
- 1ScreenConnectの管理画面で、拡張機能（Extensions）の一覧にRMM+が入っていないか確認する。
- 2入っている場合は、有効になっているか、無効のままかを確認する。
- 3運用を委託しているときは、委託先のオンプレミス環境でRMM+を使っていないか問い合わせる。
何が起きたか
ConnectWise ScreenConnectにサードパーティ製の拡張機能RMM+を入れ、APIシークレットを初期値のまま使っていると、権限のない第三者が拡張機能のAPIを使い、管理下のエージェントへコマンドを送れてしまうおそれがあります。
APIシークレットは、管理者が変更できる設定値です。ただ、初期値が全環境で共通の固定値になっているため、変更しなかった環境では、拡張機能への要求が不正なものでも受け付けられかねません。CWEの分類はCWE-1392（初期の認証情報の使用）で、CVSS v4は9.3です。
問題があるのは拡張機能のRMM+だけで、ScreenConnectのサーバーとクライアントは影響を受けません。2026年11月12日に公表されました。
攻撃の流れ
-
1
初期値のまま稼働
RMM+のAPIシークレットが、初期の固定値のまま運用されている。
-
2
APIに到達
ネットワーク越しに、拡張機能のAPIへ要求を送れる状態にある。
-
3
要求が受理される
シークレットが初期値のため、権限のない要求が正規のものとして受け付けられる。
-
4
端末へ命令が届く
管理下のエージェントにコマンドが送られ、端末が操作される。
どう悪用されるか
悪用に、ログインや利用者の操作は要りません。ネットワーク越しに拡張機能のAPIへ到達でき、APIシークレットが初期値のままであれば、攻撃の条件がそろいます。CVSSのベクターでも、攻撃元区分はネットワーク、必要な権限と利用者の関与はいずれもなしです。
悪用されると、管理下のエージェントへ第三者のコマンドを送られるおそれがあります。ScreenConnectが管理している端末そのものが操作の対象になるため、機密性・完全性・可用性への影響は、いずれも高いと評価されています。
今すぐやること
-
1
RMM+を入れているか洗い出す
オンプレミスのScreenConnectを運用している組織は、拡張機能の一覧にRMM+があるかを、まず確認します。委託先が運用している環境も対象です。
-
2
RMM+を無効にし、無効のままか確認する
ConnectWiseは、オンプレミスの利用者にRMM+をすぐ無効にするよう求めています。無効にしたあとも、有効に戻っていないかを確認します。
-
3
身に覚えのない操作がないか調べる
初期値のまま動かしていた期間があるなら、管理下の端末で、担当者が出していないコマンド実行や設定変更がないか、ScreenConnectと端末側のログで確認します。
-
4
ConnectWiseの追加の案内を確認する
修正版や再開の条件は、まだ発表されていません。ConnectWiseのセキュリティ告知を見て、追加の案内が出ていないかを確認します。
修正版がないあいだのつなぎ
修正版が出るまでは、RMM+を無効にしたままにすることが当面の対策です。ConnectWiseは、追加の案内が出るまで、再び有効にすることも、入れ直すことも避けるよう求めています。
背景
ScreenConnectは、情シス部門や運用を請け負う事業者が、遠隔から端末を支援・管理するのに使うツールです。拡張機能を足すと機能を増やせ、RMM+はその一つとして、管理下の端末へ命令を送るAPIを備えています。命令を送る入口が破られると、一台ではなく、管理しているすべての端末に影響が及びかねません。
今回の問題の原因は、拡張機能が全環境で共通の固定値を初期のシークレットにしていたことです。固定の初期値は、一つ知られれば同じ製品を使う全環境に通用してしまいます。ScreenConnect本体には問題がないので、本体の更新では解消しません。
よくある質問
Q.APIシークレットを変更すれば、RMM+を使い続けてもよいですか。
Q.運用を委託先に任せています。何を聞けばよいですか。
まだ分かっていないこと
- 影響するRMM+の版の範囲は、示されていません。
- 実際の攻撃で悪用された事例の有無は、公表されていません。
- 修正版の時期と、再び有効にしてよい条件は、追加の案内を待つ段階です。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The
third-party RMM+ extension for ConnectWise ScreenConnect uses a static API
secret by default. The value can be changed by an administrator; however,
environments retaining the default value may allow unauthorized access to
extension API functionality, including the ability to send commands to managed
agents. This issue is specific to the third-party extension and does not affect
the ScreenConnect server or client.
Scope: This issue affects the third-party RMM+
extension for ConnectWise ScreenConnect. Deployments without the extension are
not affected. ScreenConnect server or client software are not impacted.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
同じ話題を、ほかのメディアでも
参照URL
- web github.com
- web nvd.nist.gov
- web github.com