CVE-2025-11492 – Unverschlüsselte Agent-Kommunikation im ConnectWise Automate Agent

Beschreibung

Im ConnectWise Automate Agent konnte die Kommunikation laut NVD so konfiguriert werden, dass sie HTTP statt HTTPS verwendet. In diesem Fall kann ein Angreifer in einer Man-in-the-Middle-Position den Datenverkehr zwischen Agent und Server abfangen, verändern oder erneut einspielen. Mit dem Patch Automate 2025.9 wird HTTPS für die gesamte Agent-Kommunikation erzwungen. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: auf Automate 2025.9 aktualisieren und HTTPS erzwingen.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in ConnectWise ScreenConnect

• ConnectWise ScreenConnect Path Traversal Vulnerability KEV CVE-2024-1708
• ConnectWise ScreenConnect Improper Authentication KEV CVE-2025-3935
• ConnectWise ScreenConnect Authentication Bypass KEV CVE-2024-1709
• Kaseya VSA – SQL-Injection-Schwachstelle KEV CVE-2017-18362
• Ausführung nicht vertrauenswürdiger Erweiterungen in ScreenConnect CVE-2025-14265
• ConnectWise Automate Agent – Unzureichende Komponentenverifizierung beim Plugin-Laden CVE-2026-9089