Falla critica in SimpleHelp RMM sotto attacco attivo

Il 10 luglio 2026 CISA e FBI confermano che la vulnerabilità CVE‑2026‑48558 in SimpleHelp RMM è sotto sfruttamento in attacco attivo. Il rischio è concreto: attraverso questa falla è possibile distribuire malware come Djinn Stealer e ransomware, colpendo in particolare le aziende e i fornitori di software per servizi di utilità.

Cosa è successo

È stata identificata una grave falla di autenticazione (CVE‑2026‑48558) nello strumento SimpleHelp RMM utilizzato da molte aziende per la gestione remota. La vulnerabilità consente a un attaccante non autenticato di bypassare il login OIDC e accedere come “tecnico” abusando delle funzionalità legittime del software per distribuire malware.

• Il loader TaskWeaver camuffato da “jquery.js” è stato eseguito tramite Node.js per installare il secondo stadio.
• Il malware Djinn Stealer, multipiattaforma (Windows, macOS, Linux), è stato impiegato per rubare credenziali cloud, chiavi SSH, token per AI, ambienti di sviluppo, wallet di criptovalute e altro ancora.
• CISA ha incluso la falla nel suo catalogo Known Exploited Vulnerabilities, e si registra anche un’ulteriore campagna ransomware rivolta ai fornitori di software per utility.

Questi fatti sono stati confermati da fonti come Infosecurity Magazine, TechRepublic, Help Net Security e CyberNetSec.io.

Perché è importante

Per PMI, e-commerce e aziende italiane che utilizzano strumenti per la gestione remota, questa vulnerabilità rappresenta un pericolo elevato. In caso di accesso non autorizzato:

• Si rischia il furto di credenziali sensibili e dati aziendali.
• Un singolo sistema compromesso può esporre interi ambienti di lavoro e pipeline di sviluppo.
• L’attacco può propagarsi silenziosamente, senza farsi notare, sfruttando canali considerati affidabili.

Cosa fare adesso

• Verifica se usi SimpleHelp RMM con autenticazione OIDC e se la versione è vulnerabile (<= 5.5.15 o 6.0 pre‑release).
• Aggiorna immediatamente alla versione sicura (>= 5.5.16 o 6.0 RC2).
• Disabilita temporaneamente OIDC se non puoi aggiornare subito.
• Controlla gli account tecnici creati di recente o sconosciuti e i log di accesso.
• Ispeziona i sistemi gestiti alla ricerca di file sospetti (e.g. “jquery.js”), attività Node.js anomale e indicazioni di Djinn Stealer.
• Ruota tutte le credenziali e token presenti nei sistemi compromessi, inclusi quelli per cloud, AI, sviluppo e criptovalute.
• Monitora comportamenti inusuali nei sistemi e negli accessi remoti.

Come ti aiuta Evo Sistemi

Evo Sistemi può supportarti per mettere al sicuro il tuo business grazie a servizi chiave:

• Sicurezza informatica: valutazioni, patching e monitoraggio continuo del tuo ambiente.
• Realizzazione siti web sicuri e aggiornati, con protezione da accessi non autorizzati.
• Compliance e GDPR: gestione delle policy, dei dati e delle operazioni in linea con le normative.

Se vuoi una consulenza pratica e personalizzata, contattaci.

Domande frequenti

Chi è a rischio?

Chi utilizza SimpleHelp RMM con autenticazione OIDC nelle versioni vulnerabili (<= 5.5.15 o 6.0 pre‑release) può essere colpito.

Cosa ruba Djinn Stealer?

Credenziali cloud, chiavi SSH, token per sviluppo e AI, config di pacchetti, wallet di criptovalute, browser e altre credenziali utili per reingresso.

Come posso rilevare infezioni?

Cerca file sospetti come “jquery.js”, attività Node.js insolite e account tecnico aggiunti o log di accesso non riconosciuti.

Fonte: CyberNetSec.io.