In der Fernwartungssoftware SimpleHelp wird eine Authentifizierungslücke mit dem CVSS-Höchstwert 10.0 derzeit aktiv angegriffen. Die US-Behörde CISA hat die Schwachstelle in ihren Katalog bekannt ausgenutzter Lücken aufgenommen, nachdem Sicherheitsforscher einen Angriff dokumentiert haben, bei dem Infostealer-Malware nachgeladen wurde. Wer SimpleHelp mit OIDC-Anmeldung betreibt, sollte jetzt handeln.

Was ist passiert

Die Schwachstelle CVE-2026-48558 wurde von Horizon3.ai entdeckt, am 22. Mai 2026 an SimpleHelp gemeldet und am 12. Juni 2026 öffentlich beschrieben. SimpleHelp hatte bereits Ende Mai 2026 einen Patch veröffentlicht, allerdings ohne die zugehörige CVE-Nummer zu nennen. Inzwischen hat das Sicherheitsunternehmen Blackpoint einen Einbruch analysiert, bei dem Angreifer die Lücke ausnutzten, um zwei bislang unbekannte Schadprogramme auf einem kompromittierten SimpleHelp-Server zu platzieren. Daraufhin nahm CISA die Schwachstelle in ihren „Known Exploited Vulnerabilities“-Katalog auf.

Technische Details

CVE-2026-48558 betrifft SimpleHelp-Installationen, bei denen die Anmeldung über OpenID Connect (OIDC) konfiguriert ist, entweder als generischer OIDC-Provider oder über Azure AD. Der Server prüft die kryptografische Signatur der beim Login übermittelten Identity-Token nicht. Ein Angreifer kann dadurch ein selbst erstelltes Token mit frei wählbaren Identitätsangaben einreichen und erhält so eine vollständig authentifizierte Techniker-Sitzung, ganz ohne eigene Zugangsdaten und ohne Interaktion eines Nutzers.

Für eine erfolgreiche Ausnutzung müssen laut Horizon3.ai drei Bedingungen erfüllt sein: Es ist mindestens ein OIDC-Provider auf dem Server konfiguriert, mindestens eine Technician-Gruppe ist diesem Provider zugeordnet, und die Einstellung „Allow group authenticated logins“ ist für diese Gruppe aktiviert. Selbst wenn der Server Mehr-Faktor-Authentifizierung für Techniker verlangt, hilft das laut den Forschern wenig: Bei der ersten Anmeldung kann sich ein neuer Techniker-Account ein eigenes MFA-Gerät registrieren und damit den Schutz aushebeln.

Wer ist betroffen

Verwundbar sind SimpleHelp-Versionen bis einschließlich 5.5.15 sowie alle Vorabversionen der Reihe 6.0, sofern OIDC wie oben beschrieben konfiguriert ist. Den Fix liefern die Versionen 5.5.16 sowie 6.0 RC2. Nach Angaben von Horizon3.ai waren zum Zeitpunkt der Offenlegung rund 14.000 SimpleHelp-Server aus dem Internet erreichbar, etwa 7,2 Prozent davon mit der verwundbaren OIDC-Konfiguration.

Die Adversary Pursuit Group von Blackpoint hat einen Vorfall untersucht, der mit der Ausnutzung der Lücke begann. Über einen aus dem Internet erreichbaren, verwundbaren SimpleHelp-Server verschafften sich die Angreifer eine Techniker-Sitzung und damit Zugriff auf einen vertrauenswürdigen administrativen Kanal für Dateitransfer und Befehlsausführung. Darüber luden sie eine stark verschleierte Datei namens `jquery.js` nach, die trotz des Namens nichts mit der bekannten JavaScript-Bibliothek zu tun hat. Sie wurde von einer temporär eingerichteten, über Cloudflare gehosteten Adresse geladen und mit `node.exe` ausgeführt.

Bei der Datei handelt es sich um einen bislang nicht dokumentierten, modular aufgebauten Loader, den Blackpoint TaskWeaver nennt. Er inventarisiert das befallene System und meldet sich bei seiner Steuerzentrale, um weitere JavaScript-Module nachzuladen. Im beobachteten Fall folgte darauf ein neuer Infostealer namens Djinn Stealer, der unter Windows, macOS und Linux läuft und in einem Durchlauf Zugangsdaten zusammensucht, darunter Browser-Passwörter, Krypto-Wallets, SSH-Schlüssel sowie API-Schlüssel von Cloud- und KI-Diensten, die Entwickler häufig im Klartext in Dotfiles ablegen.