В программном обеспечении SimpleHelp RMM обнаружена и активно эксплуатируется уязвимость CVE-2026-48558 с максимальным рейтингом опасности CVSS 10.0. Речь об обходе аутентификации в потоке OpenID Connect, затрагивающем серверы с настроенным Generic OIDC или Azure AD OIDC. Уязвимость нашёл исследователь Zach Hanley из компании , и с тех пор неустановленная группа злоумышленников использует её в реальных атаках.
Механика эксплойта проста и оттого особенно неприятна. Неаутентифицированный атакующий отправляет поддельный токен с произвольными данными об идентификаторе пользователя. SimpleHelp обрабатывает его некорректно из-за ошибки в способе проверки утверждений от поставщика идентификации, и в результате злоумышленник получает полноценную сессию «Техника» с административными правами. Что касается многофакторной аутентификации: она не спасает, поскольку технику при первом входе разрешено самостоятельно зарегистрировать собственный метод MFA. То есть атакующий регистрирует MFA под себя и продолжает работать как полноправный администратор.
Получив такую сессию на публично доступном сервере SimpleHelp, атакующий абьюзит доверенный административный канал RMM: удалённо подключается к управляемым конечным точкам, выполняет скрипты и передаёт файлы. Именно через этот канал разворачивается вредоносная нагрузка. Атаку задокументировали исследователи Blackpoint Cyber — Nevan Beal и Sam Decker.
Первый этап нагрузки — загрузчик TaskWeaver. Он доставляется на машину жертвы в виде файла
Второй этап — Djinn Stealer, инфостилер, работающий на Windows, macOS и Linux. Его список целей широк: облачные платформы, репозитории исходного кода, реестры пакетов, инфраструктурные инструменты, ИИ-ассистенты для разработчиков, браузеры, SSH-учётные данные и криптовалютные кошельки. Атакующие целенаправленно охотятся за учётными данными разработчиков и администраторов, понимая, что доступ к рабочей станции такого специалиста даёт ключи сразу к десяткам систем.
Отдельного внимания заслуживает нацеленность на ИИ-ассистенты. Современные инструменты вроде GitHub Copilot или аналогичных решений нередко имеют широкие права доступа к корпоративным данным и репозиториям. Скомпрометировав учётную запись разработчика, злоумышленник через токены ИИ-инструментов может добраться до чувствительной информации предприятия, которая напрямую нигде не лежит в открытом виде.
Ещё одна проблема, которую подчёркивают исследователи Blackpoint Cyber: украденные учётные данные остаются опасными долго после того, как сама заражённая машина уже изолирована. Разработчик входит в десятки систем: облачные тенанты, CI/CD-пайплайны, платформы деплоя, среды клиентов. Отозвать все эти доступы быстро и полностью крайне сложно, и в этом промежутке злоумышленник может работать незамеченным.
Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло CVE-2026-48558 в каталог Known Exploited Vulnerabilities (KEV). Для ведомств Federal Civilian Executive Branch установлен срок применения патча — 2 июля 2026 года.
Организациям, использующим SimpleHelp с включённым Generic OIDC или Azure AD OIDC, необходимо срочно применить обновление безопасности. Помимо патча стоит проверить журналы на предмет неожиданных сессий техников, особенно созданных недавно зарегистрированными MFA-устройствами, а также проверить сетевую активность на наличие обращений к
Механика эксплойта проста и оттого особенно неприятна. Неаутентифицированный атакующий отправляет поддельный токен с произвольными данными об идентификаторе пользователя. SimpleHelp обрабатывает его некорректно из-за ошибки в способе проверки утверждений от поставщика идентификации, и в результате злоумышленник получает полноценную сессию «Техника» с административными правами. Что касается многофакторной аутентификации: она не спасает, поскольку технику при первом входе разрешено самостоятельно зарегистрировать собственный метод MFA. То есть атакующий регистрирует MFA под себя и продолжает работать как полноправный администратор.
Получив такую сессию на публично доступном сервере SimpleHelp, атакующий абьюзит доверенный административный канал RMM: удалённо подключается к управляемым конечным точкам, выполняет скрипты и передаёт файлы. Именно через этот канал разворачивается вредоносная нагрузка. Атаку задокументировали исследователи Blackpoint Cyber — Nevan Beal и Sam Decker.
Первый этап нагрузки — загрузчик TaskWeaver. Он доставляется на машину жертвы в виде файла
jquery.js и запускается через node.exe. Это модульный загрузчик на Node.js, сильно обфусцированный, чья основная задача — выступать зашифрованным и переиспользуемым каналом доставки дополнительных полезных нагрузок. TaskWeaver снимает цифровой отпечаток системы, устанавливает зашифрованный канал связи с командным сервером по адресу a.dev-tunnels[.]com и получает оттуда дополнительные JavaScript-скрипты для выполнения. Для передачи украденных данных используется следующая схема: всё упаковывается в TAR-архив, сжимается GZIP, шифруется алгоритмом AES-256-GCM, а ключ шифрования дополнительно защищается встроенным в TaskWeaver публичным ключом RSA-2048. Итоговый пакет уходит на сервер эксфильтрации 96.126.130[.]126:58942. Второй этап — Djinn Stealer, инфостилер, работающий на Windows, macOS и Linux. Его список целей широк: облачные платформы, репозитории исходного кода, реестры пакетов, инфраструктурные инструменты, ИИ-ассистенты для разработчиков, браузеры, SSH-учётные данные и криптовалютные кошельки. Атакующие целенаправленно охотятся за учётными данными разработчиков и администраторов, понимая, что доступ к рабочей станции такого специалиста даёт ключи сразу к десяткам систем.
Отдельного внимания заслуживает нацеленность на ИИ-ассистенты. Современные инструменты вроде GitHub Copilot или аналогичных решений нередко имеют широкие права доступа к корпоративным данным и репозиториям. Скомпрометировав учётную запись разработчика, злоумышленник через токены ИИ-инструментов может добраться до чувствительной информации предприятия, которая напрямую нигде не лежит в открытом виде.
Ещё одна проблема, которую подчёркивают исследователи Blackpoint Cyber: украденные учётные данные остаются опасными долго после того, как сама заражённая машина уже изолирована. Разработчик входит в десятки систем: облачные тенанты, CI/CD-пайплайны, платформы деплоя, среды клиентов. Отозвать все эти доступы быстро и полностью крайне сложно, и в этом промежутке злоумышленник может работать незамеченным.
Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло CVE-2026-48558 в каталог Known Exploited Vulnerabilities (KEV). Для ведомств Federal Civilian Executive Branch установлен срок применения патча — 2 июля 2026 года.
Организациям, использующим SimpleHelp с включённым Generic OIDC или Azure AD OIDC, необходимо срочно применить обновление безопасности. Помимо патча стоит проверить журналы на предмет неожиданных сессий техников, особенно созданных недавно зарегистрированными MFA-устройствами, а также проверить сетевую активность на наличие обращений к
a.dev-tunnels[.]com и соединений с 96.126.130[.]126 по порту 58942. Файл jquery.js, запускаемый через node.exe в нетипичных путях, тоже сигнал для расследования.