SimpleHelp z logowaniem OIDC przyjmuje sfałszowane tokeny i daje obcym pełną sesję technika. CISA potwierdza ataki. Zaktualizuj serwer do 5.5.16 lub 6.0 RC2 i sprawdź listę kont techników.
Ten alert jest dla zarządu, CTO i CFO firm, które same prowadzą serwer SimpleHelp albo korzystają z usług informatyka lub firmy serwisującej, która łączy się z ich komputerami przez SimpleHelp. Werdykt: jeśli serwer SimpleHelp ma wersję 5.5.15 lub starszą (albo wersję testową 6.0 sprzed RC2) i logowanie techników przez OIDC, zaktualizuj go dziś i sprawdź listę kont techników, bo luka jest aktywnie wykorzystywana.
Amerykańska agencja CISA 29 czerwca 2026 roku dopisała podatność CVE-2026-48558 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy SimpleHelp, programu do zdalnej pomocy i zarządzania komputerami, z którego korzystają działy IT i firmy serwisujące.
Gdy serwer SimpleHelp ma skonfigurowane logowanie przez zewnętrznego dostawcę tożsamości (OIDC, np. konto Microsoft Entra ID, dawniej Azure AD), przyjmuje on token logowania bez sprawdzenia podpisu kryptograficznego. Osoba z internetu, bez konta i hasła, może podsunąć sfałszowany token i dostać pełną sesję technika, czyli konto, które łączy się z obsługiwanymi komputerami i uruchamia na nich skrypty.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 2 lipca 2026 roku, ponad dwa i pół miesiąca temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-48558 |
Data dodania do CISA KEV | 2026-06-29 |
Termin naprawy wg CISA | 2026-07-02 (3 dni od wpisu) |
Produkt | SimpleHelp Ltd, SimpleHelp (serwer zdalnej pomocy i zarządzania, RMM) |
Wersje zagrożone | SimpleHelp 5.5.15 i wszystkie starsze oraz wersje przedpremierowe 6.0 sprzed 6.0 RC2. Podatny jest tylko serwer z włączonym logowaniem OIDC (ogólnym lub Azure AD). Według Horizon3.ai, która znalazła błąd, atak przez tworzenie nowego technika wymaga też grupy techników powiązanej z dostawcą OIDC i włączonej opcji „Allow group authenticated logins” |
Wersje bezpieczne | 5.5.16 (dla gałęzi 5.5) i 6.0 RC2 (dla gałęzi 6.0). Najnowsza wersja opisana w informacjach o wydaniach producenta to SimpleHelp 6.3 (kompilacja 20260814) |
Typ podatności | Obejście uwierzytelnienia; CWE-347 (niewłaściwa weryfikacja podpisu kryptograficznego) |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1) oraz 9.5 KRYTYCZNA (CVSS 4.0), obie od VulnCheck, podmiotu, który nadał numer CVE, wyświetlane w NVD. Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie biurowiec, do którego wpuszcza się ludzi na przepustki wystawiane przez centralną recepcję. Przepustka ma pieczątkę recepcji i to pieczątka jest dowodem, że dokument jest prawdziwy. Ochroniarz przy wejściu do serwerowni powinien obejrzeć pieczątkę. W tym przypadku czytał tylko wpisane imię i funkcję, a pieczątki nie sprawdzał. Każdy, kto wydrukował kartkę z napisem „serwisant”, wchodził do środka.
Tak działał SimpleHelp przy logowaniu przez OIDC. Token tożsamości to elektroniczna przepustka, a podpis cyfrowy to pieczątka. Serwer czytał dane z tokenu, ale nie weryfikował podpisu. Dostęp technika w programie do zdalnej pomocy jest przy tym szczególnie cenny: technik widzi wszystkie obsługiwane komputery, może przejąć ekran, przesłać plik i uruchomić skrypt.
💡 OIDC (OpenID Connect) to sposób logowania jednym kontem firmowym do wielu systemów. Token tożsamości to podpisany cyfrowo dokument, który potwierdza, kim jest użytkownik. RMM (Remote Monitoring and Management) to program do zdalnej obsługi i zarządzania komputerami. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Technik loguje się przez konto firmowe | Serwer sprawdza podpis tokenu od dostawcy tożsamości | Serwer akceptuje token bez sprawdzenia podpisu |
Obca osoba podsuwa własny token | Odrzucenie logowania | Pełna sesja technika z danymi wpisanymi przez napastnika |
Wymuszone logowanie dwuskładnikowe (MFA) | Chroni konto przed przejęciem | Według Horizon3.ai nowy technik przy pierwszym logowaniu sam rejestruje swoją metodę MFA, więc zabezpieczenie nic nie daje |
Dostęp do komputerów klientów | Tylko dla zaufanych techników | Napastnik łączy się z obsługiwanymi komputerami i uruchamia skrypty |
Logowanie zwykłym loginem i hasłem (bez OIDC) | Działa normalnie | Ta konkretna luka go nie dotyczy |
źródło: Pexels, Anna TarazevichPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwery SimpleHelp są zwykle dostępne z internetu, bo technicy łączą się z nich z różnych miejsc. CISA oceniła, że wykorzystanie tej luki da się zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie w internecie serwerów SimpleHelp i sprawdzanie, czy mają włączone logowanie OIDC | Lista podatnych serwerów |
2. Sfałszowanie tokenu | T+kilka minut | Przygotowanie tokenu z wymyśloną tożsamością technika | Gotowa „przepustka bez pieczątki” |
3. Wejście | T+kilkanaście minut | Logowanie jako nowy technik, rejestracja własnej metody MFA | Pełna sesja technika |
4. Przejęcie komputerów | T+1 do kilku godzin | Połączenia z obsługiwanymi komputerami, uruchamianie skryptów, instalacja narzędzi napastnika | Kontrola nad stanowiskami i serwerami, także u klientów firmy serwisującej |
5. Kradzież danych | T+1 do 7 dni | Kopiowanie dokumentów, baz danych, haseł zapisanych w przeglądarkach | Dane firmy poza organizacją |
6. Szantaż lub sabotaż | T+1 do 3 tygodni | Szyfrowanie danych i żądanie okupu albo sprzedaż dostępu innym grupom | Przestój i żądanie zapłaty |
Mogę Ci jakoś pomóc?
Program do zdalnej pomocy ma z założenia uprawnienia administratora na obsługiwanych komputerach. Przejęcie sesji technika to więc nie dostęp do jednego komputera, ale do całego parku maszyn. Firma korzystająca z zewnętrznego informatyka często nie wie, jaki program jest zainstalowany na jej komputerach i jak skonfigurowano serwer.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane komputery i serwery, zatrzymana obsługa klientów, sprzedaż i księgowość | Godziny do dni od wejścia | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek dokumentów, danych klientów i pracowników, haseł zapisanych na stanowiskach | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, utracone zamówienia, koszty zewnętrznych specjalistów | Dni do tygodni | 100 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów; dla firm serwisujących ryzyko utraty wielu klientów naraz | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: serwer SimpleHelp <= 5.5.15
z włączonym logowaniem OIDC
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo sesja technika daje kontrolę nad wszystkimi obsługiwanymi komputerami, a prawdopodobieństwo wysokie (potwierdzone ataki, możliwość automatyzacji), choć nie najwyższe, bo podatne są tylko serwery z logowaniem OIDC; według próbki Horizon3.ai około 7,2% wystawionych do internetu serwerów SimpleHelp.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub jej informatyk używa SimpleHelp, w jakiej wersji i czy logowanie techników odbywa się przez OIDC | Dziś | CTO / firma serwisująca |
2 | 🔴 NATYCHMIAST | Zaktualizować serwer do 5.5.16 lub 6.0 RC2, a najlepiej do najnowszej wersji z bieżącej gałęzi | Dziś | Administrator SimpleHelp |
3 | 🔴 NATYCHMIAST | Przejrzeć listę techników z włączonym widokiem kont uwierzytelnianych grupowo (Administration, Technicians, ikona koła zębatego, „Show Group Authenticated Users”) i usunąć nieznane konta | Dziś | Administrator SimpleHelp |
4 | 🟠 PILNIE | Przejrzeć logi serwera (Administration, Server Logs oraz plik server.log) pod kątem logowań nieznanych techników od maja 2026 roku | Do 3 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Jeśli pojawiły się nieznane konta: potraktować sprawę jako incydent, sprawdzić komputery, z którymi się łączyły, i zmienić hasła | Do 3 dni | CTO / zespół reagowania |
6 | 🟡 WAŻNIE | Ograniczyć logowanie techników do znanych adresów IP (Administration, Login Security) | Do 14 dni | Administrator SimpleHelp |
7 | 🟡 WAŻNIE | Uzgodnić z firmą serwisującą zasady zdalnego dostępu i comiesięczny raport połączeń | Do 30 dni | CTO / CFO (umowa) |
Producent wydał poprawki dla obu gałęzi (5.5.16 i 6.0 RC2), więc docelowo trzeba je wgrać. Do czasu aktualizacji można ograniczyć ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie logowania OIDC i przejście na lokalne konta techników do czasu aktualizacji | Wysoka: usuwa warunek konieczny ataku | Średnia: technicy potrzebują haseł i nowego MFA |
Wyłączenie opcji „Allow group authenticated logins” w grupach techników powiązanych z OIDC | Wysoka dla opisanego wektora tworzenia technika (wg Horizon3.ai), nie potwierdzona przez producenta jako pełna ochrona | Łatwa |
Ograniczenie logowania techników do znanych adresów IP (Login Security, zalecenie Horizon3.ai) | Średnia do wysokiej, zależnie od szczelności listy adresów | Średnia: utrudnia pracę technikom w terenie |
Codzienny przegląd listy techników i logów serwera | Niska jako ochrona, przydatna do wykrycia włamania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Logowanie przez OIDC | Serwer przyjmuje sfałszowany token | Podpis tokenu jest weryfikowany |
Konta techników | Mogą istnieć nieznane konta z obcymi adresami | Lista przejrzana, obce konta usunięte |
Rola MFA | Napastnik rejestruje własne MFA przy pierwszym logowaniu | MFA chroni prawdziwe konta |
Widoczność | Nikt nie przegląda logów serwera zdalnej pomocy | Logi przejrzane od maja 2026, stały przegląd ustalony |
Relacja z firmą serwisującą | Brak wiedzy o wersji i konfiguracji | Pisemne potwierdzenie wersji i daty aktualizacji |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA już 12 czerwca 2026 roku oceniła wykorzystanie jako aktywne, możliwe do automatyzacji, z całkowitym wpływem technicznym |
Grupy przestępcze | Brak publicznych informacji o nazwach grup. NVD odsyła do raportu Blackpoint Cyber o łańcuchu włamań „TaskWeaver”, ale nie udało się zweryfikować jego treści |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1) i 9.5 KRYTYCZNA (CVSS 4.0), obie od VulnCheck |
PoC dostępny publicznie? | Brak publicznych informacji; Horizon3.ai opublikowała wskaźniki włamania, ale zapowiedziała, że nie ujawnia szczegółów technicznych |
Liczba atakowanych firm | Brak publicznych informacji. Horizon3.ai szacuje blisko 14 000 serwerów SimpleHelp widocznych w internecie, z czego w próbce około 7,2% używało logowania OIDC |
Kto wykrył błąd | Horizon3.ai, przy pomocy własnego systemu automatycznego wyszukiwania podatności |
Prognoza EPSS | Około 11% szansy wykorzystania, powyżej 95% wszystkich znanych podatności (wg analizy źródłowej) |
SimpleHelp nie jest nowym celem. Według Horizon3.ai jedna z wcześniej zgłoszonych przez nią luk w tym produkcie trafiła do KEV w maju 2025 roku, a dwie kolejne w kwietniu 2026 roku.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2026-48558
CVSS 3.1 (VulnCheck) 10.0/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (VulnCheck) 9.5/10 ███████████████████░ KRYTYCZNA
EPSS ~11% ██░░░░░░░░░░░░░░░░░░ powyżej 95. percentyla
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-05-21 Horizon3.ai wykrywa obejście logowania
2026-05-22 Zgłoszenie błędu do SimpleHelp
2026-06-09 Horizon3.ai zauważa, że poprawki 5.5.16 i 6.0 RC2 są już wydane
2026-06-12 Publikacja CVE w NVD i raportu Horizon3.ai; CISA ocenia
wykorzystanie jako aktywne
2026-06-29 CISA dodaje lukę do katalogu KEV
2026-07-02 Termin naprawy wg CISA dla agencji federalnych
2026-08-14 Wydanie SimpleHelp 6.3 (najnowsze w informacjach o wydaniach)
... ponad 2,5 miesiąca od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami do pobrania: simple-help.com/security/simplehelp-security-update-2026-05 . Wskaźniki włamania od Horizon3.ai: horizon3.ai, CVE-2026-48558 IOCs . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-48558 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy na firmowych komputerach jest klient SimpleHelp i czyj serwer nim zarządza | CTO | DZISIAJ |
2 | Uzyskać pisemną informację: wersja serwera, data aktualizacji, czy włączone jest logowanie OIDC | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację lub czasowe wyłączenie logowania OIDC | CTO | DZISIAJ |
4 | Zlecić przegląd listy techników i logów serwera od maja 2026 roku | CTO | DO JUTRA |
5 | Sprawdzić w umowie z firmą serwisującą obowiązek informowania o incydentach i aktualizacjach | CFO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd wykaże nieznane konta | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące zgłaszania incydentów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy my lub nasz informatyk używamy SimpleHelp? | TAK / NIE | 🔴 |
2 | Jaka jest wersja serwera SimpleHelp? | [wersja] | 🔴 |
3 | Czy technicy logują się przez OIDC (konto firmowe, Azure AD, Entra ID)? | TAK / NIE | 🔴 |
4 | Kiedy zainstalowano wersję 5.5.16, 6.0 RC2 lub nowszą? | [data] | 🔴 |
5 | Czy na liście techników (z kontami uwierzytelnianymi grupowo) są konta, których nikt nie rozpoznaje? | TAK / NIE | 🟠 |
6 | Czy logi serwera od maja 2026 roku zostały przejrzane i przez kogo? | [data i osoba] | 🟠 |
7 | Czy logowanie techników jest ograniczone do znanych adresów IP? | TAK / NIE | 🟡 |
CVE-2026-48558 pozwala osobie z internetu zalogować się do serwera SimpleHelp jako technik bez hasła, jeśli serwer ma wersję 5.5.15 lub starszą i używa logowania OIDC. CISA potwierdza ataki, a termin naprawy minął 2 lipca 2026 roku, więc aktualizacja i przegląd kont techników to zadanie na dziś, także gdy serwer stoi u firmy serwisującej.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.