Cos'è successo
SimpleHelp è un software di accesso remoto e gestione (RMM) molto diffuso tra i fornitori di assistenza IT per amministrare postazioni e server dei clienti. Una vulnerabilità critica, identificata come CVE-2026-48558, permette a un attaccante non autenticato di creare un account con ruolo «Tecnico» e accedere alla console di gestione senza alcuna credenziale valida.
Il problema tecnico
La falla riguarda la procedura di autenticazione basata su OIDC (OpenID Connect): l'applicazione accetta i token di identità inviati durante il login senza verificarne la firma crittografica. In pratica, SimpleHelp considera valido qualunque token venga presentato, indipendentemente dalla sua origine o integrità. Un attaccante può quindi forgiare un token e ottenere accesso come se fosse un tecnico legittimo, con la possibilità di raggiungere gli endpoint gestiti, eseguire script da remoto e compiere azioni amministrative.
La portata del problema
Secondo le rilevazioni più recenti, i server SimpleHelp esposti direttamente su Internet sono passati da circa 3.400 a inizio 2025 a quasi 14.000 a giugno 2026. Di questi, circa il 7,2% risulta configurato in un modo che lo rende effettivamente vulnerabile al bypass. Sono interessate le versioni 5.5.15 e precedenti, oltre alle pre-release della 6.0.
Cosa fare
Il produttore ha rilasciato la correzione il 9 giugno 2026 con le versioni 5.5.16 e 6.0RC2. Chi gestisce un'installazione SimpleHelp dovrebbe aggiornare immediatamente, verificare la presenza di account «Tecnico» non riconosciuti, limitare l'esposizione diretta della console su Internet (ad esempio dietro VPN o liste di accesso) e controllare i log per individuare accessi anomali nelle settimane precedenti alla patch. Trattandosi di software ampiamente usato dai fornitori di assistenza IT per gestire endpoint di terze parti, una compromissione qui può tradursi rapidamente in un attacco alla supply chain verso i clienti finali.
