SimpleHelp CVE-2026-48558 RMM-Lücke ausgenutzt

Eine kritische Schwachstelle mit der Bezeichnung SimpleHelp CVE-2026-48558 Authentication Bypass erlaubt es Angreifern, ein Login-Token zu fälschen und eine vollständig authentifizierte Technician-Sitzung in der Fernwartungssoftware (RMM) zu übernehmen, die tausende Managed Service Provider zur Verwaltung von Kundennetzwerken einsetzen. CISA hat die Schwachstelle am 29. Juni in seinen Known-Exploited-Vulnerabilities-Katalog aufgenommen; Sicherheitsforscher haben sie bereits mit zwei neuen Malware-Familien in Verbindung gebracht, die gegen nachgelagerte Kunden eingesetzt werden. Wenn Ihre IT von einem externen Dienstleister betreut wird, ist das die Frage dieser Woche: Hat unser Anbieter SimpleHelp bereits gepatcht?

Was ist passiert

SimpleHelp CVE-2026-48558 (CVSS 10.0) ist eine Authentifizierungsumgehung im OpenID-Connect-(OIDC)-Login-Ablauf der Software, vorhanden in Version 5.5.15 und älter sowie im 6.0-Vorabbuild. Ist OIDC-Authentifizierung konfiguriert, akzeptiert SimpleHelp Identitäts-Token beim Login, ohne deren kryptografische Signatur zu prüfen. Diese eine Lücke genügt: Ein nicht authentifizierter Angreifer kann ein Token mit beliebigen Identitätsangaben fälschen und erhält dafür eine vollständige „Technician“-Sitzung — denselben Zugriffslevel, den ein echter Support-Mitarbeiter auf jedes vom SimpleHelp-Server verwaltete Gerät hat.

Blackpoint Cyber dokumentierte die Ausnutzung in freier Wildbahn. Nach Übernahme der gefälschten Sitzung setzten Angreifer einen verschleierten JavaScript-Loader namens TaskWeaver ein, ausgeliefert als Datei „jquery.js“ von einer temporären Cloudflare-Domain. TaskWeaver identifiziert das kompromittierte Gerät und lädt weitere Module vom Command-and-Control-Server nach. Die Hauptnutzlast ist Djinn Stealer, ein plattformübergreifender Infostealer für Windows, macOS und Linux, der Zugangsdaten von Cloud-Anbietern, Identitäts-Token, Git-Konfigurationen, GitHub-CLI-Token, SSH-Schlüssel, Docker-Zugangsdaten, Paketmanager-Zugangsdaten und insbesondere Konfigurationsdateien von KI-Coding-Assistenten erbeutet, in denen häufig API-Schlüssel und Cloud-Token lokal zwischengespeichert sind. Die gestohlenen Daten werden vor der Exfiltration in ein TAR-Archiv gepackt, komprimiert und mit AES-256-GCM verschlüsselt.

CISA schreibt die Kampagne einer gut ausgestatteten Gruppe mit Merkmalen eines Initial-Access-Brokers zu — gezielt gegen MSPs gerichtet, um über sie Zugang zu nachgelagerten Kunden zu erhalten, nicht als direkter Angriff auf Endkundennetzwerke.

Warum das wichtig ist

SimpleHelp ist genau die Art von Werkzeug, das unsichtbar hinter einer Managed-IT-Beziehung steht: Ihr Unternehmen hat möglicherweise nie direkten Kontakt damit, dennoch besitzt es interaktiven Fernzugriff auf jeden Endpunkt, den Ihr Dienstleister verwaltet. Ein gefälschtes Token umgeht gleichzeitig sämtliche Sicherheitskontrollen aller nachgelagerten Kunden, ohne dass zuvor eine Phishing-Mail oder Malware-Probe die betroffene Organisation erreichen musste. Für den deutschen Mittelstand — wo ausgelagerte IT-Verwaltung über MSPs das dominierende Betriebsmodell für kleine und mittlere Unternehmen ist — ist dies ein unmittelbares Drittparteirisiko, kein hypothetisches. Im Rahmen der NIS2-Sorgfaltspflichten ist genau diese Art von Lieferketten-Abhängigkeit jetzt dokumentationspflichtig — die Annahme „unser Dienstleister kümmert sich um Sicherheit“ reicht nicht mehr aus.

Was Sie jetzt tun sollten

1. Wenn Sie SimpleHelp selbst betreiben: Sofort auf Version 5.5.16 oder 6.0 RC2 aktualisieren, je nach Ihrem Deployment-Zweig.
2. Wenn SimpleHelp von einem externen Dienstleister verwaltet wird: Kontaktieren Sie Ihren MSP noch heute und fordern Sie eine schriftliche Bestätigung der gepatchten Version samt Datum an.
3. Prüfen Sie unabhängig vom Patch-Status auf Kompromittierungsindikatoren: unerwartete Technician-Sitzungen in SimpleHelp-Logs, unbekannte geplante Tasks und ausgehende Verbindungen zu Cloudflare-gehosteten Domains, die unerwartete JavaScript-Dateien mit generischen Namen wie „jquery.js“ ausliefern.
4. Ist OIDC-Authentifizierung für Ihr SimpleHelp-Deployment nicht zwingend erforderlich, deaktivieren Sie sie als sofortige Kompensationsmaßnahme, bis der Patch bestätigt ist.

Kann Ihr MSP innerhalb von 48 Stunden keinen Patch-Zeitplan bestätigen, ist das selbst ein Governance-Befund.

DIESEC Einschätzung

Dies ist der zweite grosse Vorfall rund um einen „vertrauenswürdigen Drittkanal“ innerhalb von neun Tagen, nach dem Klue/Icarus-SaaS-Integrationsangriff am 23. Juni. Während dort ein gestohlenes OAuth-Credential innerhalb einer SaaS-Integration missbraucht wurde, nutzt SimpleHelp den RMM-Kanal direkt aus — eine Vertrauensbeziehung, die eher noch höher einzustufen ist, da sie interaktive Kontrolle statt API-beschränkten Zugriff gewährt. Unternehmen, die SimpleHelp nie selbst gehört haben, sind trotzdem exponiert, wenn ihr ausgelagerter IT-Dienstleister es einsetzt. Sicherheitsfragebögen für Lieferanten sollten künftig gezielt abfragen, welches RMM-Tool im Einsatz ist und wie schnell es gepatcht wird.

Unsicher, ob der RMM-Stack Ihres Dienstleisters diese Angriffsfläche bietet? Kontaktieren Sie DIESEC für eine Sicherheitsprüfung Ihrer Lieferantenbeziehungen.

Quellen: The Hacker News | Blackpoint Cyber
Veröffentlicht: 2026-07-02 | Kategorie: Tägliche News | ~4 Min. Lesezeit