SimpleHelpの認証回避の脆弱性CVE-2026-48558の悪用
SimpleHelpのサーバーには、OIDC認証を設定するとログイン時のIDトークンを暗号署名の検証なしに受け入れる脆弱性CVE-2026-48558があり、認証されていない遠隔の攻撃者が認証済みの技術者のセッションを得られる［4］。Blackpoint Cyberによると、同社がこの脆弱性の悪用を開示した後、CISAは脆弱性を既知の悪用された脆弱性（KEV）のカタログに加えた［7］。
脆弱性の内容
| 項目 | 値 | 資料 |
|---|---|---|
| CVE | CVE-2026-48558（CNAはVulnCheck） | ［4］ |
| CVEレコードの題 | SimpleHelp Authentication Bypass via Missing OIDC JWT Signature Verification | ［4］ |
| CVSS v4.0 | 9.5（CRITICAL、CVEレコード） | ［4］ |
| CVSS v3.1 | 10（CRITICAL、CVEレコード） | ［4］ |
| CWE | CWE-347（暗号署名の不適切な検証） | ［4］ |
| CISAのSSVCの評価 | Exploitation（悪用）はactive、Automatable（自動化）はyes、Technical Impact（技術的影響）はtotal | ［4］ |
開発元のSimpleHelp Ltdは解説記事で、問題は技術者のログインにOpenID Connect（OIDC）を使う環境で、IDプロバイダからのアサーションを検証するしかたにあると説明した［2］。特定の構成では、認証されていない攻撃者がIDプロバイダを経ずに新しいTechnicianアカウントを登録できる［2］。攻撃者はアカウントも認証情報もIDプロバイダへのアクセスも要らず、SimpleHelpサーバーに直接働きかける［2］。条件がそろうと、攻撃者は初回ログインで自分のMFAデバイスを登録してMFA登録の要件を回避し、Technician Consoleから管理端末に接続してスクリプトを実行できる［2］。
CVEレコードによると、攻撃者は任意のIDクレームを含む偽造トークンを送ってセッションを得られ、ユーザーの操作は要らない［4］。
発見したHorizon3.aiは開示記事で、社内の自律型の脆弱性調査「Sua Sponte」にコードを取り込み、数時間後にこの脆弱性を見つけたと書いた〔注1〕［6］。SimpleHelpは汎用のOIDCとAzure ADのOIDCの2種に対応し、脆弱性はどちらを使う構成にも及ぶ［6］。新しく作られたTechnicianは既定で、管理端末への遠隔接続やスクリプトの実行などの特権的な管理ができる［6］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Horizon3.ai | 脆弱性を見つけて実際の環境で悪用できることを確かめ、CVE-2026-48558が割り当てられた | ［2］ |
| 2026年 | Horizon3.ai | SimpleHelp Ltdに脆弱性を報告した | ［2］ |
| 2026年 | Horizon3.ai | SimpleHelp Ltdと詳細を伝え合い、悪用できる構成を詰めた | ［6］ |
| 2026年 | SimpleHelp Ltd | 修正版の5.5.16と6.0 RC2を出した | ［2］ |
| 2026年 | Horizon3.ai | 侵害の指標を含む開示記事を公表した | ［6］ |
| 2026年 | - | CVEレコードが公開された | ［4］ |
| 2026年 | Blackpoint Cyber | 悪用で始まった侵入の分析を公表した | ［7］ |
| 2026年 | CISA | KEVカタログに加え、対応期限を2026年7月2日とした | ［5］ |
対象の製品と版
SimpleHelp Ltdは会社概要で、2007年10月に創業した非上場の会社で、英国スコットランドのエディンバラに拠点を置くとした［8］。SimpleHelpは数千台のサーバーにインストールされ、100万台を大きく超える機器がSimpleHelpサーバーを通じて管理されている［8］。
SimpleHelp Ltdのセキュリティ更新のページでは、5.5.15以前を動かすサーバーは、サーバーの設定とネットワークの状況に応じた特定の条件で悪用されうる［1］。すべてのサーバーが悪用できるわけではない［1］。
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| SimpleHelp 5.5系 | 5.5.15以前〔注2〕 | 5.5.16 | ［1］ |
| SimpleHelp 6.0 | プレリリース版 | 6.0 RC2 | ［1］ |
SimpleHelp Ltdは解説記事で、攻撃には3つの条件がすべて要るとした［2］。
- OIDC認証が有効で、OIDCプロバイダが1つ以上設定されている［2］
- TechnicianGroupが1つ以上、そのOIDCプロバイダに関連付けられている［2］
- そのTechnicianGroupで「Allow group authenticated logins」が有効になっている［2］
Horizon3.aiの開示記事によると、この設定は同社が評価した顧客で実際に有効になっていた［6］。インターネットに公開されたSimpleHelpサーバーは、2025年1月の調査の約3,400台から14,000台近くに増えた［6］。無作為に抽出したサーバーの約7.2%が、脆弱なOIDC認証を使う設定だった［6］。
悪用の状況
Blackpoint CyberのAdversary Pursuit Group（APG）は、CVE-2026-48558の悪用で始まった侵入を調査し、封じ込めた［7］。攻撃者は有効な認証情報を持たずに、インターネットに面したSimpleHelpサーバーで認証済みの技術者セッションを得た［7］。このアクセスで、これまで報告の無かったマルウェア2種を展開し、APGはそれぞれをTaskWeaverとDjinn Stealerと名付けた［7］。
Blackpoint Cyberの分析では、攻撃者は難読化したJavaScriptファイルを、Cloudflareでホストされた一時的なURLから取得し、一斉に展開した［7］。ファイルは1.08 MBの1行のNode.jsのペイロードで、APGはこのローダーをTaskWeaverとして追跡している［7］。Djinn StealerはWindows・macOS・Linuxを対象にし、クラウド・ソース管理・パッケージレジストリ・インフラ用ツール・AI開発支援ツール・ブラウザ・SSH・暗号資産ウォレットに関わる認証情報を集める［7］。
SimpleHelp Ltdは解説記事で、設定保存の記録に「[New Anon]」があれば、この脆弱性でアカウントが作られたことの強い指標になると説明した［2］。
修正と回避策
SimpleHelp Ltdは解説記事で、修正版への更新と、狙われたかどうかを確かめる手順を示した［2］。
- SimpleHelp 5.5.16か6.0 RC2への更新［2］
- すぐに修正を適用できない場合の一時的な緩和策として、Administration → Login Securityで技術者の認証元を承認したIPアドレスに限る設定［2］
- Show Group Authenticated Usersでの、見覚えの無い技術者名とメールアドレスの確認［2］
- サーバーログでの、表3の2つの記録の検索［2］
5.5.16のリリースノートによると、この版は「critical vulnerability」を塞ぐリリースで、すべての利用者に推奨される［3］。技術者アカウントのログイン情報の一意性を強制し、Entra IDとOIDCのログインをメールアドレスの一致で既存の技術者アカウントに結びつけるかを、管理者が選べるようにした［3］。
SimpleHelp Ltdはセキュリティ更新のページで、セキュリティガイドの推奨策をすべて講じていれば実際の悪用ははるかに難しくなるとしたうえで、できるだけ早く安全な版へ更新するよう求めた［1］。
NVDに載ったKEVの項目では、CISAが求める対応はベンダーの指示に沿った緩和策の適用である［5］。BOD 26-04と「Forensics Triage Requirements」に従うことと、緩和策が無ければ製品の使用をやめることも含む［5］。
Horizon3.aiは2026年6月9日に、SimpleHelp Ltdが同社に伝えないまま修正版を出していたことに気づいたと書いた〔注3〕［6］。同社の顧客では、技術者のログインを絞る任意の設定が有効にされていることは少なかった［6］。
未公表の事項
- SimpleHelp Ltdが予告した、影響と侵害の特徴を含む詳細の文書（SimpleHelp Ltdは、当面は顧客に連絡して更新を促すことに注力していると説明した［1］）
- 悪用を受けた組織とサーバーの数
- Blackpoint Cyberが調査した侵入の被害組織、業種、侵入の日付
- 攻撃者の帰属
- Djinn Stealerが集めた認証情報の範囲と、下流の顧客への波及の有無
注
出典
当事者
- ［1］SimpleHelp Ltd『SimpleHelp Security Update (2026-05)』（公開日不明、2026年11月4日閲覧）
- ［2］SimpleHelp Ltd『CVE-2026-48558: What You Need to Know About the SimpleHelp OIDC Authentication Bypass』（公開日不明、2026年11月4日閲覧）
- ［3］SimpleHelp Ltd『Release News: SimpleHelp v5.5.16』（公開日不明、2026年11月4日閲覧）
公的機関
- ［4］CVE Program『CVE-2026-48558』（2026年6月12日公開、2026年10月7日更新）
- ［5］National Institute of Standards and Technology『CVE-2026-48558』（2026年6月12日公開、2026年10月7日更新）
調査・観測
- ［6］Horizon3.ai『CVE-2026-48558: SimpleHelp Authentication Bypass Indicators of Compromise』（2026年6月12日公開、2026年8月1日更新）
- ［7］Blackpoint Cyber『A Djinn in the Machine: TaskWeaver’s Node.js Intrusion Chain』（2026年6月29日公開、2026年7月30日更新）
背景資料
- ［8］SimpleHelp Ltd『About SimpleHelp』（公開日不明、2026年11月4日閲覧）
更新記録
- 2026年7月1日：公開した。
- 2026年7月14日：CVE Programの記録（出典4）の7月14日の更新を反映し、「脆弱性の内容」を改めた。
- 2026年7月30日：Blackpoint Cyberの報告（出典7）の7月30日の更新版を反映し、「悪用の状況」を改めた。
- 2026年8月1日：Horizon3.aiの開示記事（出典6）の8月1日の更新版を反映し、「対象の製品と版」と「修正と回避策」を改めた。
- 2026年10月7日：CVE Programの記録（出典4）とNVDの記録（出典5）の10月7日の更新を反映し、「脆弱性の内容」と「時系列」を改めた。