Khai thác SimpleHelp CVE-2026-48558 để triển khai TaskWeaver và Djinn Stealer
"Attackers are exploiting SimpleHelp CVE-2026-48558, a critical authentication bypass in the OIDC flow with a CVSS score of 10.0, to obtain authenticated Technician sessions on exposed RMM servers. The access has been used to deploy TaskWeaver, a Node.js loader, and Djinn Stealer, which targets credentials and sensitive data across Windows, macOS, and Linux, including cloud, source control, AI tool, and wallet information; CISA added the flaw to its KEV catalog and set a July 2, 2026 remediation deadline for FCEB agencies."
Tác động lớn do bypass xác thực OIDC dẫn tới chiếm phiên Technician đã xác thực, từ đó triển khai mã độc thu thập credential và dữ liệu nhạy cảm trên nhiều nền tảng.
Nguy cơ cao đối với vận hành do RMM bị lạm dụng như kênh quản trị tin cậy, có thể dẫn tới rò rỉ dữ liệu và ảnh hưởng chuỗi phát triển/triển khai; đặc biệt nghiêm trọng khi dữ liệu từ cloud, repo và AI tools bị thu thập.
Một tác nhân đe doạ được ghi nhận đang khai thác lỗ hổng mức độ nghiêm trọng trong SimpleHelp CVE-2026-48558 ( CVSS 10.0 ) nhằm chiếm quyền truy cập vào máy chủ RMM (Remote Monitoring and Management) đang mở ra Internet. Lỗ hổng nằm ở luồng OpenID Connect (OIDC), cho phép kẻ tấn công không cần xác thực tạo và đăng nhập như người dùng “Technician” bằng token giả mạo, từ đó nhận phiên Technician đã xác thực.
Theo phân tích, dù hệ thống có thể bật MFA cho technician, kẻ tấn công vẫn có thể vượt cơ chế này vì khi đăng nhập lần đầu, technician có thể tự đăng ký phương thức MFA. Khi đã có phiên hợp lệ, chuỗi tấn công sử dụng kênh quản trị tin cậy của nền tảng RMM để triển khai TaskWeaver (loader Node.js) và giai đoạn sau là Djinn Stealer.
TaskWeaver thực hiện thu thập dấu vân tay hệ thống, thiết lập liên lạc mã hoá và tải payload bổ sung. Djinn Stealer nhắm tới thu thập thông tin đăng nhập và dữ liệu nhạy cảm trên Windows, macOS và Linux, bao gồm dữ liệu trình duyệt, SSH, Docker/Helm/S3/MinIO, kho mã và nhiều hệ sinh thái AI, cũng như ví tiền mã hoá. Dữ liệu được đóng gói, mã hoá và exfiltrate.
Khuyến nghị: rà soát cấu hình OIDC/Azure AD OIDC của SimpleHelp, khẩn trương áp bản vá theo hướng dẫn nhà cung cấp; đồng thời giới hạn truy cập RMM từ Internet và tăng giám sát các phiên “Technician” bất thường. CISA đã đưa CVE-2026-48558 vào KEV với hạn khắc phục 02/07/2026 cho cơ quan FCEB.