Cosa è successo

Quasi un mese fa avevamo raccontato la scoperta di CVE-2026-48558, il bypass di autenticazione che lasciava esposti quasi 14.000 server SimpleHelp. Allora la falla era nota e già corretta dal produttore, ma non risultavano attacchi in corso. La situazione è cambiata: la vulnerabilità è ora sfruttata attivamente in rete, la CISA l'ha inserita nel proprio catalogo Known Exploited Vulnerabilities (KEV) con scadenza di remediation a inizio luglio, e i ricercatori hanno documentato una catena d'attacco completa che culmina nel dispiegamento di due nuovi malware: TaskWeaver e Djinn Stealer.

Un ripasso rapido: SimpleHelp è un software di accesso remoto e gestione (RMM) molto diffuso tra i fornitori di assistenza IT e gli MSP. CVE-2026-48558 (CVSS 10.0) sfrutta un errore nel flusso OIDC — i token di identità vengono accettati senza verificarne la firma crittografica — così un attaccante non autenticato può forgiare un token e ottenere una sessione da «Tecnico» con privilegi amministrativi.

La catena d'attacco

Secondo le analisi di Blackpoint Cyber e Arctic Wolf, dopo aver ottenuto la sessione da tecnico su un server SimpleHelp raggiungibile da Internet, l'attaccante usa gli strumenti legittimi della piattaforma per distribuire il malware agli endpoint gestiti. Il primo stadio è TaskWeaver, un loader Node.js pesantemente offuscato, consegnato con il nome innocuo di jquery.js ed eseguito tramite node.exe: non un insieme fisso di comandi, ma un canale cifrato e riutilizzabile per scaricare i payload successivi.

Il payload principale è Djinn Stealer, un infostealer che in un solo passaggio raccoglie tutto ciò che trova di sensibile sulla macchina — Windows, macOS o Linux — con un'attenzione particolare alle credenziali degli sviluppatori e agli strumenti di sviluppo basati su IA: chiavi API di servizi cloud, token, segreti di infrastruttura. È un bersaglio scelto con cura: chi compromette la postazione di uno sviluppatore o di un amministratore raggiunge poi gli ambienti cloud e le pipeline che quella persona gestisce.

Perché è più grave di una vulnerabilità qualsiasi

Il vero moltiplicatore di rischio è la posizione di SimpleHelp nella catena. Un MSP usa un'unica console per amministrare migliaia di sistemi dei clienti. Basta compromettere quella console perché l'attacco si trasformi in un attacco alla supply chain: dall'accesso amministrativo al server di gestione si arriva a ogni endpoint sotto controllo. È lo stesso schema che ha reso devastanti incidenti come Kaseya nel 2021 — un solo anello debole, moltissime vittime a valle.

Cosa significa per le aziende italiane

In Italia il tessuto delle PMI si appoggia in larga misura a fornitori esterni di assistenza IT, spesso proprio attraverso strumenti RMM come SimpleHelp. Per queste realtà il messaggio è duplice.

Chi eroga servizi gestiti deve considerare la propria istanza SimpleHelp come un asset critico esposto: se è raggiungibile da Internet e non è stata aggiornata prima della fine di giugno, va trattata come potenzialmente già compromessa, non semplicemente «da aggiornare». Chi acquista servizi gestiti, invece, dovrebbe chiedere esplicitamente al proprio fornitore se usa SimpleHelp, con quale versione, e se ha verificato l'assenza di account tecnico anomali e di indicatori di compromissione.

Sul piano normativo, un MSP che gestisce i sistemi di terzi rientra con ogni probabilità tra i soggetti «importanti» ai sensi della NIS2, con obblighi di gestione del rischio e di notifica degli incidenti. Una compromissione che si propaga ai clienti configura un incidente significativo e, se sono coinvolti dati personali, comporta la notifica al Garante entro 72 ore, oltre alla comunicazione ai clienti interessati. La sicurezza della catena di fornitura, del resto, è uno dei pilastri espliciti della NIS2: la responsabilità non si esaurisce con la scelta del fornitore.

Cosa fare subito

  • Aggiornare SimpleHelp alle versioni 5.5.16 o 6.0RC2 e successive; se il server è esposto e non aggiornato, avviare da subito un'analisi di compromissione anziché limitarsi alla patch.
  • Cercare gli indicatori della catena descritta: file jquery.js eseguiti tramite node.exe, processi Node.js anomali, account «Tecnico» non riconosciuti nella console.
  • Rimuovere l'esposizione diretta della console su Internet, collocandola dietro VPN o liste di accesso per indirizzo IP.
  • In caso di sospetta compromissione, ruotare tutte le credenziali potenzialmente esposte — con priorità alle chiavi API cloud e ai token dei servizi IA — e revocare le sessioni attive.
  • Per gli MSP: verificare gli endpoint dei clienti gestiti tramite SimpleHelp, non solo il server, e informare i clienti secondo gli obblighi contrattuali e normativi.

In sintesi

Il passaggio di CVE-2026-48558 «dalla teoria alla pratica» ricorda che una patch disponibile non equivale a un rischio azzerato: finché i server restano esposti e non aggiornati, la finestra d'attacco resta aperta. Con l'ingresso nel catalogo KEV della CISA e due malware già in circolazione, per chi gestisce SimpleHelp — soprattutto se lo usa per amministrare i sistemi di terzi — l'aggiornamento e la caccia agli indicatori di compromissione non sono più rimandabili.