SimpleHelp CVE-2026-48558 : quand votre infogérant devient la porte d'entrée

La plupart des PME confient l'administration de leur parc à un prestataire d'infogérance, qui déploie un outil de gestion et surveillance à distance, un RMM, sur chaque poste. Cet outil dispose par conception d'un accès privilégié à l'ensemble du parc. C'est un gain d'efficacité considérable, et un point de défaillance unique tout aussi considérable. La vulnérabilité CVE-2026-48558 dans SimpleHelp RMM en est l'illustration parfaite : une faille chez l'outil de votre infogérant devient une faille chez vous.

Notée CVSS 10.0, cette vulnérabilité a été découverte par Zach Hanley de Horizon3.ai, divulguée le 12 juin 2026, et inscrite au catalogue des vulnérabilités activement exploitées de la CISA avec une échéance de correction au 2 juillet 2026. Elle est confirmée sous exploitation active pour déployer deux familles de logiciels malveillants jusque là inconnues, TaskWeaver et Djinn Stealer.

Le mécanisme : un jeton d'identité qui n'est pas vérifié

La faille tient à une validation défaillante de la signature des jetons OpenID Connect. Lorsque OIDC est configuré avec des paramètres de connexion authentifiés par groupe, un attaquant non authentifié peut forger des jetons d'identité pour contourner l'authentification multifacteur et obtenir un accès privilégié de niveau technicien aux serveurs SimpleHelp vulnérables, sans identifiant valide. Concrètement, les versions 5.5.15 et antérieures, ainsi que les préversions 6.0, acceptent un jeton d'identité lors de la connexion OIDC sans en vérifier la signature cryptographique.

C'est un contournement d'authentification, T1190 (Exploit Public-Facing Application), qui aboutit à l'usage d'un compte valide au sens du système, T1078 (Valid Accounts). L'attaquant obtient un accès technicien, c'est à dire la capacité de pousser des commandes et des logiciels sur tous les postes gérés par le serveur. C'est précisément le niveau d'accès dont rêve un opérateur de rançongiciel.

L'ampleur du problème

Cette faille est d'autant plus préoccupante que SimpleHelp est très déployé, souvent exposé directement sur Internet pour permettre l'accès distant des techniciens. Le nombre de serveurs exposés se compte en milliers, dont une part significative reste vulnérable. Pour une PME, l'enjeu est de savoir si le serveur SimpleHelp de son prestataire est à jour, une question qui déborde le périmètre technique habituel du client mais qui le concerne directement.

Une détection Nuclei pour vérifier la version

Un modèle Nuclei permet d'identifier un serveur SimpleHelp accessible et d'en lire la version, pour la comparer au seuil corrigé, à savoir la version 5.5.16. Ce contrôle est utile aussi bien au prestataire, pour auditer sa propre flotte, qu'à un client soucieux de vérifier l'exposition qui le concerne.

id: simplehelp-version-check
info:
  name: SimpleHelp RMM version exposee
  author: threatclaw
  severity: info
  description: Lit la version d un serveur SimpleHelp expose pour la comparer au seuil corrige 5.5.16
  reference:
    - https://arcticwolf.com/resources/blog/cve-2026-48558-critical-authentication-bypass-vulnerability-in-simplehelp-rmm-exploited-for-credential-theft-and-malware-delivery/
  tags: simplehelp,rmm,cve-2026-48558,kev
http:
  - method: GET
    path:
      - "{{BaseURL}}/allservices"
    matchers-condition: and
    matchers:
      - type: word
        words:
          - "SimpleHelp"
      - type: status
        status:
          - 200
    extractors:
      - type: regex
        part: body
        regex:
          - '5\.5\.[0-9]+'
          - '6\.0'

Le modèle extrait la version affichée. À vous de croiser le résultat avec le seuil : toute version antérieure à 5.5.16, ou une préversion 6.0, doit être considérée comme vulnérable et corrigée sans délai.

Surveiller la création de comptes technicien

Au delà de la correction, il faut vérifier qu'aucun accès n'a été pris avant elle. Le signal le plus révélateur d'une exploitation réussie est l'apparition de nouveaux comptes technicien non prévus sur le serveur SimpleHelp. Une règle Sigma sur les journaux applicatifs du serveur, surveillant la création de comptes administrateur ou technicien, permet de repérer cette prise de contrôle. Recherchez également, sur les postes gérés, l'exécution de charges inattendues poussées via l'agent SimpleHelp, signe que l'accès technicien a servi à distribuer les voleurs TaskWeaver et Djinn Stealer.

Ce que la PME peut demander à son prestataire

La conséquence pratique de cette faille est qu'un client a le droit, et l'intérêt, d'interroger son infogérant sur trois points concrets. Le serveur SimpleHelp est-il en version 5.5.16 ou supérieure. OIDC était-il activé avec authentification par groupe, configuration vulnérable, et si oui, une revue des accès a-t-elle été menée. Enfin, l'interface du serveur est-elle exposée directement sur Internet, ou restreinte à un réseau de confiance. Ces questions relèvent d'une bonne hygiène de la chaîne d'approvisionnement, désormais partie intégrante de la sécurité d'une PME.

Vérifier l'exposition et prioriser les correctifs sur une vulnérabilité activement exploitée demande des modèles de scan à jour, alignés sur le KEV. C'est ce que fournit le feed Nuclei ThreatClaw : des modèles actualisés au rythme des divulgations, pour savoir en quelques minutes si un outil de votre chaîne d'approvisionnement vous expose.