CVE-2026-48558
SimpleHelp Authentication Bypass Vulnerability
Beschreibung
CVE-2026-48558 ist eine kritische Schwachstelle durch unsachgemäße Verifizierung kryptografischer Signaturen in SimpleHelp, der verbreiteten Plattform für Fernwartung und Remote-Zugriff, mit dem maximalen CVSS-3.1-Wert von 10.0. Der Fehler liegt im OIDC-Authentifizierungsablauf von SimpleHelp: Ist die OIDC-Anmeldung konfiguriert, werden die bei der Authentifizierung übermittelten Identitäts-Tokens akzeptiert, ohne ihre kryptografische Signatur zu verifizieren. Dadurch kann ein entfernter, nicht authentifizierter Angreifer ein Token mit beliebigen Identitätsangaben fälschen und eine vollständig authentifizierte Technician-Sitzung erlangen — in manchen Konfigurationen lässt sich zudem die Multi-Faktor-Authentifizierung vollständig umgehen. Da SimpleHelp-Technician-Konten die Fernsteuerung angebundener Endgeräte erlauben, öffnet diese Authentifizierungsumgehung einen direkten Weg zur Kompromittierung sämtlicher über den Server verwalteter Maschinen; CVE-2026-48558 ist im Known-Exploited-Vulnerabilities-(KEV-)Katalog der CISA gelistet, weshalb eine zeitnahe Behebung unerlässlich ist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| simple-help | simplehelp | < 5.5.16; 6.0 |
Referenzen
- https://horizon3.ai/attack-research/disclosures/cve-2026-48558-simplehelp-authentication-bypass-iocs/(Third Party Advisory)
- https://simple-help.com/release-news(Release Notes)
- https://simple-help.com/security/simplehelp-security-update-2026-05(Patch, Vendor Advisory)
- https://blackpointcyber.com/blog/a-djinn-in-the-machine-taskweavers-node-js-intrusion-chain/(Technical Description, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48558(US Government Resource)
Schwachstellentyp
CWE-347: Unsachgemäße Verifizierung kryptografischer Signaturen
CVE-2026-48558 beruht auf CWE-347: SimpleHelp verifiziert die kryptografische Signatur der bei der Anmeldung empfangenen OIDC-Identitäts-Tokens nicht. Da die Signatur niemals validiert wird, kann ein Angreifer ein gefälschtes Token mit selbst gewählten Identitätsangaben erstellen, und SimpleHelp vertraut ihm, als wäre es vom legitimen Identity Provider ausgestellt worden — der klassische Weg, auf dem das Versäumnis, eine Signatur zu prüfen (etwa das Nicht-Validieren einer JWT-Signatur oder das Akzeptieren eines Tokens, dessen Echtheit nie geprüft wurde), einen Authentifizierungsmechanismus in eine Authentifizierungsumgehung verwandelt.
Mehr erfahren: CWE-347 — Unsachgemäße Verifizierung kryptografischer Signaturen
Auswirkungsanalyse
CVE-2026-48558 weist den maximalen CVSS-3.1-Wert von 10.0 (CRITICAL) auf und ist aus der Ferne über das Netzwerk ohne physischen Zugriff ausnutzbar (Angriffsvektor NETWORK), mit geringer Komplexität und ohne besondere Voraussetzungen (Angriffskomplexität LOW), ohne jegliche Authentifizierung (erforderliche Rechte NONE) und ohne Benutzerinteraktion (User Interaction NONE). Da der Scope Changed ist, reicht ein erfolgreicher Angriff über die Authentifizierungskomponente selbst hinaus: Das Fälschen einer gültigen Technician-Sitzung lässt den Angreifer mit der Autorität eines vertrauenswürdigen SimpleHelp-Operators agieren. Die resultierende Auswirkung ist in allen drei Dimensionen HIGH — ein Angreifer kann vertrauliche Daten und Sitzungsinformationen lesen (Vertraulichkeit High), Konfigurationen manipulieren und Befehle an verwaltete Endgeräte erteilen (Integrität High) sowie die Verfügbarkeit der Support-Plattform und der von ihr gesteuerten Systeme stören (Verfügbarkeit High). Da SimpleHelp zur Fernverwaltung nachgelagerter Maschinen eingesetzt wird, übergibt diese Authentifizierungsumgehung dem Angreifer faktisch die Schlüssel zu jedem über den Server erreichbaren Endgerät, und die Aufnahme in den KEV-Katalog bestätigt, dass diese Schwachstelle dringenden Handlungsbedarf erfordert.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2026-48558 durch Aufnahme in den Known-Exploited-Vulnerabilities-Katalog bestätigt, mit einer Behebungsfrist zum 2026-07-02 — Organisationen sollten dies als reale Bedrohung in freier Wildbahn und nicht als theoretisches Risiko behandeln. Ein detailliertes Drittanbieter-Advisory samt Indicators of Compromise zu dieser SimpleHelp-Authentifizierungsumgehung ist öffentlich bei Horizon3.ai verfügbar, und weiteren Kontext zur Intrusion-Chain hat Blackpoint Cyber veröffentlicht; die Verfügbarkeit öffentlicher technischer Details und IOCs senkt die Hürde für eine Ausnutzung deutlich. Der EPSS-Wert von 0,0116 ordnet CVE-2026-48558 in etwa das 63. Perzentil ein, womit die gemessene Ausnutzungswahrscheinlichkeit relativ betrachtet moderat ausfällt — dieser Wert wird jedoch von der bestätigten KEV-Listung und der Leichtigkeit eines unauthentifizierten Angriffs geringer Komplexität überwogen. Der KEV-Ransomware-Status ist als Unknown gelistet, doch da eine Technician-Sitzung die Fernsteuerung verwalteter Endgeräte ermöglicht, sollten Verteidiger davon ausgehen, dass diese Schwachstelle für ein breites Spektrum von Angreifern attraktiv ist, und sofort patchen.
Behebung
- KEV-Handlungsanweisung der CISA befolgen. Maßnahmen gemäß den Anweisungen des Herstellers SimpleHelp und der BOD-26-04-Vorgaben der CISA umsetzen; für cloud-gehostete oder exponierte Instanzen die geltenden BOD-26-04-Patching-Vorgaben befolgen oder das Produkt außer Betrieb nehmen, falls keine Maßnahmen verfügbar sind. Die behördliche Behebungsfrist für CVE-2026-48558 lag beim 2026-07-02.
- Auf eine korrigierte SimpleHelp-Version aktualisieren. Betroffen sind Version 5.5.15 und älter sowie 6.0-Pre-Release-Builds; aktualisieren Sie auf SimpleHelp 5.5.16 oder neuer (bzw. die entsprechende korrigierte 6.0-Version) gemäß dem Hersteller-Advisory unter simple-help.com und den Release Notes.
- Exposition während des Patchens einschränken. Den Netzwerkzugriff auf den SimpleHelp-Server auf vertrauenswürdige Verwaltungsnetze beschränken, ihn hinter ein VPN oder einen Reverse-Proxy stellen und — falls OIDC nicht sofort gepatcht werden kann — die OIDC-Authentifizierung vorübergehend zugunsten einer verifizierten Alternative deaktivieren, um den Token-Fälschungsweg zu schließen.
- Nach vorheriger Ausnutzung suchen. Authentifizierungs- und Technician-Sitzungs-Logs auf Anmeldungen prüfen, die keiner legitimen Identity-Provider-Aktivität entsprechen, auf unerwartet akzeptierte OIDC-Tokens sowie auf neue/unbekannte Technician-Sitzungen; ziehen Sie die von Horizon3.ai veröffentlichten Indicators of Compromise (siehe Exploit-Reifegrad) heran, um Missbrauchsspuren zu erkennen.
- Signaturverifizierung langfristig härten. Stellen Sie sicher, dass jede wiederhergestellte oder neu konfigurierte OIDC-Integration Token-Signaturen explizit gegen die veröffentlichten Schlüssel des Identity Providers validiert, unsignierte oder "none"-Algorithmus-Tokens ablehnt und auf gut getestete kryptografische Bibliotheken statt auf eigene Verifizierungslogik setzt — im Einklang mit den Best Practices zu CWE-347.
Technische Details
CVE-2026-48558 ist eine Schwachstelle durch unsachgemäße Verifizierung kryptografischer Signaturen (CWE-347) im OIDC-Authentifizierungsablauf von SimpleHelp. In einer korrekten OIDC-Implementierung muss die Relying Party kryptografisch verifizieren, dass ein Identitäts-Token vom vertrauenswürdigen Identity Provider signiert wurde, bevor sie den enthaltenen Angaben Glauben schenkt; SimpleHelp akzeptiert das übermittelte Identitäts-Token jedoch ohne diese Signaturprüfung, sodass die Echtheit des Tokens nie festgestellt wird. Ein Angreifer kann daher ein Token mit beliebigen Identitätsangaben konstruieren — sich etwa als gültiger Technician ausgeben — und SimpleHelp baut auf dieser Grundlage eine vollständig authentifizierte Sitzung auf; in manchen Konfigurationen erlaubt derselbe Fehler zudem, die Multi-Faktor-Authentifizierung zu umgehen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H verdeutlicht, warum dies den Maximalwert von 10.0 erreicht: Der Angriff ist über das Netzwerk erreichbar, von geringer Komplexität, vollständig unauthentifiziert, benötigt keine Benutzerinteraktion und bewirkt einen Scope-Wechsel mit voller HIGH-Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit.
Häufig gestellte Fragen
Wird CVE-2026-48558 aktiv ausgenutzt?
Ja. CVE-2026-48558 ist im Known-Exploited-Vulnerabilities-Katalog der CISA gelistet, was die aktive Ausnutzung in freier Wildbahn bestätigt, mit Behebungsfrist zum 2026-07-02. Ein öffentliches Drittanbieter-Advisory mit Indicators of Compromise ist bei Horizon3.ai verfügbar. Der KEV-Ransomware-Status ist derzeit als Unknown gelistet, und der EPSS-Wert von 0,0116 liegt um das 63. Perzentil.
Welche Produkte sind von CVE-2026-48558 betroffen?
Betroffen ist die Fernwartungssoftware SimpleHelp, konkret Version 5.5.15 und älter sowie 6.0-Pre-Release-Builds, sofern die OIDC-Authentifizierung konfiguriert ist. Organisationen, die SimpleHelp einsetzen, sollten ihre Version prüfen und auf 5.5.16 oder neuer (bzw. die entsprechende korrigierte 6.0-Version) aktualisieren. Nur Installationen, die den OIDC-Authentifizierungsablauf nutzen, sind dem Token-Fälschungsweg ausgesetzt.
Wie behebe ich CVE-2026-48558?
Befolgen Sie die KEV-Handlungsanweisung der CISA, spielen Sie das Sicherheitsupdate von SimpleHelp ein und aktualisieren Sie gemäß dem Hersteller-Advisory auf Version 5.5.16 oder neuer. Beschränken Sie während des Patchens den Netzwerkzugriff auf den SimpleHelp-Server, erwägen Sie eine vorübergehende Deaktivierung von OIDC und prüfen Sie die Authentifizierungs-Logs anhand der veröffentlichten Indicators of Compromise, wie im Abschnitt Behebung beschrieben.
Wie schwerwiegend ist CVE-2026-48558?
CVE-2026-48558 ist als CRITICAL mit dem maximalen CVSS-3.1-Wert von 10.0 eingestuft. Sie erlaubt einem entfernten, nicht authentifizierten Angreifer, die Authentifizierung ohne Benutzerinteraktion zu umgehen und eine vollständig privilegierte Technician-Sitzung zu erlangen, und erreicht HIGH-Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit bei geändertem Scope. Die Aufnahme in den KEV-Katalog und die Verfügbarkeit öffentlicher Ausnutzungsdetails machen sie zu einer Schwachstelle mit höchster Priorität für die sofortige Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.