Descripción
ConnectWise ScreenConnect contiene una vulnerabilidad de autenticación incorrecta. Esta vulnerabilidad podría permitir un ataque de inyección de código en ViewState, lo que podría permitir la ejecución remota de código (RCE) si las claves de máquina están comprometidas.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de connectwise.com connectwise.com/company/trust/security-bulletins/screenconnect-securi…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-3935
Ver el texto original en inglés (CISA)
ConnectWise ScreenConnect Improper Authentication Vulnerability
ConnectWise ScreenConnect contains an improper authentication vulnerability. This vulnerability could allow a ViewState code injection attack, which could allow remote code execution if machine keys are compromised.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://www.connectwise.com/company/trust/security-bulletins/screenconnect-security-patch-2025.4 ; https://nvd.nist.gov/vuln/detail/CVE-2025-3935
Otras vulnerabilidades de ConnectWise en el catálogo
- CVE-2026-84869 Vulnerabilidad de gestión incorrecta de privilegios y autorización ausente en ConnectWise ScreenConnect Alta 11-09-2026
- CVE-2024-1708 Vulnerabilidad de recorrido de directorios (path traversal) en ConnectWise ScreenConnect Alta 28-04-2026
- CVE-2024-1709 ConnectWise ScreenConnect Authentication Bypass Vulnerability Alta 22-02-2024