Falla critica in SimpleHelp RMM sotto attacco attivo
Il 10 luglio 2026 CISA e FBI confermano che la vulnerabilità CVE‑2026‑48558 in SimpleHelp RMM è sotto sfruttamento in attacco attivo. Il rischio è concreto: attraverso questa falla è possibile distribuire malware come Djinn Stealer e ransomware, colpendo in particolare le aziende e i fornitori di software per servizi di utilità.
Cosa è successo
È stata identificata una grave falla di autenticazione (CVE‑2026‑48558) nello strumento SimpleHelp RMM utilizzato da molte aziende per la gestione remota. La vulnerabilità consente a un attaccante non autenticato di bypassare il login OIDC e accedere come “tecnico” abusando delle funzionalità legittime del software per distribuire malware.
- Il loader TaskWeaver camuffato da “jquery.js” è stato eseguito tramite Node.js per installare il secondo stadio.
- Il malware Djinn Stealer, multipiattaforma (Windows, macOS, Linux), è stato impiegato per rubare credenziali cloud, chiavi SSH, token per AI, ambienti di sviluppo, wallet di criptovalute e altro ancora.
- CISA ha incluso la falla nel suo catalogo Known Exploited Vulnerabilities, e si registra anche un’ulteriore campagna ransomware rivolta ai fornitori di software per utility.
Questi fatti sono stati confermati da fonti come Infosecurity Magazine, TechRepublic, Help Net Security e CyberNetSec.io.
Perché è importante
Per PMI, e-commerce e aziende italiane che utilizzano strumenti per la gestione remota, questa vulnerabilità rappresenta un pericolo elevato. In caso di accesso non autorizzato:
- Si rischia il furto di credenziali sensibili e dati aziendali.
- Un singolo sistema compromesso può esporre interi ambienti di lavoro e pipeline di sviluppo.
- L’attacco può propagarsi silenziosamente, senza farsi notare, sfruttando canali considerati affidabili.
Cosa fare adesso
- Verifica se usi SimpleHelp RMM con autenticazione OIDC e se la versione è vulnerabile (<= 5.5.15 o 6.0 pre‑release).
- Aggiorna immediatamente alla versione sicura (>= 5.5.16 o 6.0 RC2).
- Disabilita temporaneamente OIDC se non puoi aggiornare subito.
- Controlla gli account tecnici creati di recente o sconosciuti e i log di accesso.
- Ispeziona i sistemi gestiti alla ricerca di file sospetti (e.g. “jquery.js”), attività Node.js anomale e indicazioni di Djinn Stealer.
- Ruota tutte le credenziali e token presenti nei sistemi compromessi, inclusi quelli per cloud, AI, sviluppo e criptovalute.
- Monitora comportamenti inusuali nei sistemi e negli accessi remoti.
Come ti aiuta Evo Sistemi
Evo Sistemi può supportarti per mettere al sicuro il tuo business grazie a servizi chiave:
- Sicurezza informatica: valutazioni, patching e monitoraggio continuo del tuo ambiente.
- Realizzazione siti web sicuri e aggiornati, con protezione da accessi non autorizzati.
- Compliance e GDPR: gestione delle policy, dei dati e delle operazioni in linea con le normative.
Se vuoi una consulenza pratica e personalizzata, contattaci.
Domande frequenti
Chi è a rischio?
Chi utilizza SimpleHelp RMM con autenticazione OIDC nelle versioni vulnerabili (<= 5.5.15 o 6.0 pre‑release) può essere colpito.
Cosa ruba Djinn Stealer?
Credenziali cloud, chiavi SSH, token per sviluppo e AI, config di pacchetti, wallet di criptovalute, browser e altre credenziali utili per reingresso.
Come posso rilevare infezioni?
Cerca file sospetti come “jquery.js”, attività Node.js insolite e account tecnico aggiunti o log di accesso non riconosciuti.
Fonte: CyberNetSec.io.