La Direction générale de la sécurité des systèmes d'information (DGSSI) du Maroc a publié le 12 novembre un bulletin de niveau critique, référencé 71001211/26, sur une cyberattaque ScreenConnect qui vise des organisations à l'international. Selon le chercheur en sécurité Huntress, 288 terminaux répartis dans 48 organisations ont été touchés, après la compromission de panneaux ScreenConnect chez des prestataires de services gérés (MSP).

L'éditeur ConnectWise, qui édite ScreenConnect, a publié le 11 novembre 2026 un avis de sécurité sur son Trust Center, consacré à la désactivation préventive d'extensions et aux consignes données aux partenaires. La DGSSI s'appuie sur cet avertissement pour demander aux organisations marocaines d'agir sans attendre. Ces attaques sur les outils d'administration à distance rappellent d'autres alertes récentes, comme celles que décrit notre article sur les craintes de l'ENISA face aux attaques sur routeurs et appareils ménagers.

Cyberattaque ScreenConnect : ce que Huntress a observé

Dans cette cyberattaque ScreenConnect, Huntress indique que des attaquants ont utilisé, dès le 11 novembre 2026, des panneaux piratés chez des MSP pour installer des clients d'accès à distance non autorisés chez les clients de ces prestataires. Les MSP gèrent l'informatique d'autres entreprises, ce qui donne à un seul accès compromis une portée très large.

Selon Huntress, les attaquants emploient la fonction Run Command de ScreenConnect pour déployer des clients ScreenConnect sur les postes gérés. Ils installent aussi un outil malveillant nommé SCKit. Huntress dit avoir constaté 288 terminaux affectés dans 48 organisations, ciblés en 90 minutes, et suivre six MSP compromis.

Huntress estime par ailleurs que le nombre de victimes continue d'augmenter. La liste des pays touchés n'est pas détaillée.

Ce que ConnectWise a fait et ce qu'il affirme

ConnectWise a désactivé cinq extensions de la famille RMM+ dans environ 400 environnements ScreenConnect. Il s'agit de Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link et RMM+ Password Link. Le chiffre de 400 correspond aux environnements qui avaient au moins une de ces extensions installée, et non au nombre de victimes.

Ces extensions fournissent une API capable d'exécuter des commandes à distance. ConnectWise soupçonne leur abus, mais précise que la méthode d'accès initiale n'est pas confirmée : « While the initial access method remains unconfirmed », selon l'éditeur.

L'entreprise affirme aussi ne trouver aucune trace de compromission de sa propre infrastructure ni de faille dans le logiciel. Son avis indique : « Nous n'avons trouvé aucune preuve de compromission de l'infrastructure de ConnectWise ni de vulnérabilité dans ScreenConnect lui-même ». Dans une autre déclaration, ConnectWise dit avoir connaissance de signalements d'activité malveillante touchant un nombre limité de partenaires ScreenConnect et mener activement l'enquête.

Alerte de la DGSSI : les mesures demandées aux organisations

L'alerte de la DGSSI vise d'abord les organisations et les prestataires marocains, même si la campagne est internationale. L'agence définit et met en œuvre la politique nationale de cybersécurité du Maroc. Elle cite l'avertissement de ConnectWise selon lequel les consoles d'au moins six MSP qui utilisent la version cloud de ScreenConnect ont été compromises.

La DGSSI demande de désactiver immédiatement les extensions concernées, y compris sur les installations sur site, et de ne pas les réactiver avant d'avoir reçu les instructions de ConnectWise. Les environnements cloud ont été traités par l'éditeur, mais les clients sur site doivent agir eux-mêmes, car ConnectWise ne peut pas le faire à leur place.

L'agence recommande aussi de mettre fin aux sessions de console actives, de changer les mots de passe et de révoquer les jetons liés aux comptes. Elle prévient que la simple mise à jour du logiciel « ne suffit pas à garantir » la sécurité d'un système déjà compromis.

ScreenConnect, un outil déjà visé par le passé

ScreenConnect est largement utilisé par les MSP. Le produit a porté le nom de ConnectWise Control, puis de ConnectWise ScreenConnect en mai 2023, avant de redevenir ScreenConnect en 2024. ConnectWise avait déjà publié un avis sur une faille CWE-288 en février 2024, puis un avis de durcissement de l'authentification le 17 mars 2026. Sophos avait observé en 2024 une vague d'exploitation de versions non corrigées.

Cette semaine-là, des acteurs malveillants ont aussi abusé d'outils de gestion à distance utilisés par les MSP dans deux incidents distincts, dont une campagne liée à des failles de N-central, de l'éditeur N-able. Les mises à jour de sécurité régulières restent un enjeu pour tous les éditeurs, comme le montre la correction de failles iMessage, Bluetooth et AirPlay par Apple dans iOS 27.2.1.