Interfaz en español. Las fichas, los resúmenes y las fuentes conservan su idioma original.

ConnectWise

ScreenConnect: disable RMM+ extensions during access investigation

Actualizado 12 nov 2026

Actuar ahoraIncidente confirmado por el proveedor

Seguí las novedades de seguridad

Alertas prioritarias y resúmenes de Radar por correo.

.rd-subscription-header button,#radar-email-form{display:none!important}

Suscribite con tu correo. La activación requiere confirmación por email.

Análisis del incidente

ConnectWise is investigating unauthorized access reports involving partner environments and possible abuse of RMM+ extensions. About 400 environments had an extension installed; that count does not establish compromise.

Quiénes deben revisar: ScreenConnect administrators, MSP security teams and customer teams whose devices may have been reached through the affected partner environments.

Acción recomendada

Disable the listed RMM+ extensions and keep them disabled. Investigate with separate security tools; avoid interactive ScreenConnect sessions to suspected devices.

Revisar sistemas afectados Armar un plan de respuesta

¿Qué ocurrió y por qué es relevante?

ConnectWise’s November 12 update says the initial access method and full scope are still under investigation. It has not found evidence of compromised ConnectWise infrastructure or a vulnerability in ScreenConnect itself. Its working assessment concerns possible abuse of independently developed extensions, not a confirmed root cause.

The five named extensions expose a remote command API protected by a partner configured passphrase. ConnectWise identified approximately 400 environments with at least one installed and disabled the extensions wherever it could act. This is an installation count, not a victim count.

Check that the extensions remain disabled. Operators of installations on their own premises must act themselves. Investigate through separate security tools and avoid interactive ScreenConnect connections to suspected devices; assess technician workstations that connected to them.

The vendor lacks telemetry into partner activity after initial access. Each organization must assess its own evidence, secure access from a trusted device, and validate remediation before restoring connectivity.

Proveedor / autor: ConnectWise
Divulgado: 11 nov 2026
Última revisión de evidencia: 12 nov 2026 UTC

¿Qué sistemas y versiones están afectados?

Producto	Afectado	Versión corregida / acción
ScreenConnect environments with RMM+ family extensions	Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link or RMM+ Password Link installed; installation alone does not prove compromise.	Disable the extensions and do not reinstall or enable them pending vendor guidance. This is a precaution, not a ScreenConnect version fix.

Usá las indicaciones para tu producto y rama. Confirmá con el proveedor las correcciones adaptadas a tu distribución; el nombre del producto por sí solo no establece exposición.

¿Qué evidencia respalda este aviso?

Evidencia del incidente

Incidente confirmado por el proveedor

Fundamento de la prioridad

ConnectWise calls for immediate disabling of the listed extensions and investigation of partner environments. The initial access method and full scope remain under investigation.

¿Qué implica para los entornos de IA?

Include unattended remote administration and automation accounts when reviewing commands and access; the advisory does not establish AI involvement.

Fuentes de este aviso

ConnectWise: November 12, 02:45 UTC investigation updateConnectWise · Revisado 12 nov 2026 UTC

Abrir evidencia de respaldo y registro técnico

Historial editorial1 entrada

12 nov 2026 UTCAdded verified vendor scope, response actions and the limits of the available evidence.

Acciones de respuesta

Prepará tu respuesta

0 de 4 acciones registradas como completadas

Usá esta lista para evaluar si el aviso afecta a tus sistemas, registrar las acciones de tu equipo y compartir el resultado. Radar no escanea ni verifica tu entorno.

Los cambios se guardan automáticamente en este navegador. No se sincronizan con tu equipo ni se envían a Oktsec.

1. Evaluá si aplica a tu entorno

Revisá los sistemas y versiones afectados y registrá tu decisión a continuación. Si tenés dudas, elegí «Requiere verificación».

Evaluación de aplicabilidadSin evaluar

2. Registrá la respuesta

Indicá el sistema y la persona o equipo responsable. Actualizá cada acción y agregá una referencia al ticket o notas sobre lo revisado.

Sistema o servicioPersona o equipo responsable

Verify extensions are disabled
Check all instances for the five named extensions. ConnectWise disabled them where it could; operators of installations on their own premises must disable them themselves. Do not re-enable them.
Estado: Verify extensions are disabled
Agregar evidencia o notas
Evidencia o notas de seguimientoUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
Investigate without interactive ScreenConnect access
Use separate security tooling for suspected devices. Include technician workstations that connected to them in the assessment.
Estado: Investigate without interactive ScreenConnect access
Agregar evidencia o notas
Evidencia o notas de seguimientoUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
Preserve commands and access records
Retain authentication, extension installation, administrative, Run Command and Toolbox records. Review unexpected accounts, permissions, commands and remote access software.
Estado: Preserve commands and access records
Agregar evidencia o notas
Evidencia o notas de seguimientoUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
Secure access from a trusted device
Follow the vendor guidance to revoke ScreenConnect and identity provider sessions, reset relevant credentials, enforce MFA and review extension API access. Coordinate containment and preserve evidence before removing artifacts.
Estado: Secure access from a trusted device
Agregar evidencia o notas
Evidencia o notas de seguimientoUsá solo referencias. No guardes credenciales ni datos confidenciales acá.

3. Compartí el plan

Descargá un archivo Markdown con tu decisión, los estados de las acciones, las notas y las fuentes. Compartilo con tu equipo o adjuntalo a un ticket.

VERIFICÁ TU ENTORNO

Sistemas afectados y correcciones

Abrir plan de respuesta

Compará la versión en ejecución y la configuración con las indicaciones del proveedor.

Producto	Afectado	Versión corregida / acción
ScreenConnect environments with RMM+ family extensions	Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link or RMM+ Password Link installed; installation alone does not prove compromise.	Disable the extensions and do not reinstall or enable them pending vendor guidance. This is a precaution, not a ScreenConnect version fix.

Confirmá con el proveedor las correcciones adaptadas a tu distribución. Coincidir en el producto no basta para establecer exposición.

Acceso necesarioDepende de la aplicación o configuración

EVIDENCIA CON FUENTES

Evidencia y fuentes

Revisado 12 nov 2026 UTC

Por qué tiene esta prioridad