Lỗ hổng SimpleHelp cho phép tạo tài khoản hỗ trợ từ xa trái phép qua OIDC
"A critical vulnerability in SimpleHelp remote management software, tracked as CVE-2026-48558, allows unauthenticated attackers to create privileged Technician accounts when OIDC authentication is enabled. The issue affects SimpleHelp 5.5.15 and earlier plus 6.0 pre-release builds, and was fixed in 5.5.16 and 6.0RC2; affected organizations should update or restrict technician login sources as a mitigation."
Nguy cơ cao do CVE-2026-48558 cho phép tạo Technician privileged accounts từ xa mà không cần xác thực và có thể bỏ qua MFA trong cấu hình OIDC.
Có thể dẫn tới chiếm quyền quản trị trên endpoint, ảnh hưởng trực tiếp đến vận hành hỗ trợ từ xa; ước tính có hàng chục nghìn máy chủ công khai có thể liên quan theo quan sát quét.
Một lỗ hổng trong phần mềm quản lý từ xa SimpleHelp cho phép kẻ tấn công không cần xác thực tạo tài khoản Technician có quyền cao trên các máy chủ bật OpenID Connect (OIDC). Sự cố được theo dõi dưới mã CVE-2026-48558 và được đánh giá mức độ critical.
Theo các nhà nghiên cứu tại Horizon3.ai, nguyên nhân liên quan đến cách hệ thống xác thực/kiểm tra identity assertions nhận từ nhà cung cấp danh tính (IdP OIDC). Khi OIDC authentication được bật, kẻ tấn công có thể tạo và đăng nhập bằng tài khoản Technician mới mà không phải vượt qua quy trình MFA. Tài khoản mặc định này có thể thực hiện các tác vụ quản trị như remoting vào endpoint và thực thi script.
Phạm vi ảnh hưởng gồm SimpleHelp 5.5.15 trở về trước và các bản 6.0 pre-release; bản vá được phát hành vào ngày 9/6 với 5.5.16 và 6.0RC2. CVE không tác động mọi máy chủ, mà chủ yếu là nhóm cấu hình phụ thuộc OIDC (bao gồm OIDC chung và Azure AD OIDC). Điều kiện khai thác còn yêu cầu có Technician Group gắn với OIDC và bật “Allow group authenticated logins”.
Khuyến nghị: cập nhật lên 5.5.16/6.0RC2; nếu không thể, áp dụng giảm thiểu bằng cách giới hạn nguồn đăng nhập Technician qua IP allowlist. Có thể rà soát dấu hiệu xâm nhập qua tài khoản Technician mới bất thường và kiểm tra /opt/SimpleHelp/logs/server.log.