La console SimpleHelp diventa un canale fidato per tutta la flotta
Il vero problema non è solo la falla in SimpleHelp. Un token OIDC forgiato diventa una sessione da tecnico fidato sul server RMM, e da lì passa il canale con cui si possono trasferire file ed eseguire comandi su tutta la flotta gestita. La compromissione non resta sul server esposto: si allarga ai sistemi amministrati e ai segreti che vi transitano.
Le fonti confermano lo sfruttamento di CVE-2026-48558 per ottenere sessioni tecnico autenticate e distribuire TaskWeaver e Djinn Stealer. SimpleHelp ha corretto il problema in 5.5.16 e 6.0 RC2, mentre CISA ha inserito la CVE nel catalogo KEV con scadenza 2 luglio 2026.
Per MSP e help desk interni, il punto è il canale di controllo: se il server era esposto, credenziali, token e chiavi usati dai tecnici vanno trattati come potenzialmente compromessi. Il furto di credenziali per cloud, codebase e strumenti AI rende il salto di ambiente il rischio più grande, non il singolo endpoint colpito.