SimpleHelp Güvenlik Açığı (CVE-2026-48558)

Uzaktan destek ve sistem yönetimi çözümleri, BT ekiplerinin günlük operasyonlarında önemli bir yere sahip. Ancak bu sistemlerde ortaya çıkan kritik güvenlik açıkları, saldırganların tek bir sunucu üzerinden yüzlerce hatta binlerce istemciye erişmesine neden olabiliyor.

SimpleHelp uzaktan destek yazılımında tespit edilen CVE-2026-48558 numaralı kritik güvenlik açığı yayınlandı. Saldırganların bu açığı kullanarak yetkisiz erişim ederek sistemlere zararlı yazılımlar dağıtmakta. Firma tarafında güvenlik açığının aktif olarak kullanıldığı belirtilmektedir.

CVE-2026-48558 Detayları

CVE-2026-48558, OpenID Connect (OIDC) kimlik doğrulaması kullanan SimpleHelp sunucularını etkileyen kritik bir kimlik doğrulama zafiyetidir. Bu zafiyeti kullanan saldırganlar;

• Sisteme geçerli kullanıcı hesabı olmadan erişim sağlayabilir.
• Yeni bir yönetici hesabı oluşturabilir.
• Yönetici seviyesinde uzaktan erişim elde edebilir.
• İstemci bilgisayarlarda komut çalıştırabilir.
• Zararlı yazılım dağıtabilir.

Saldırgan geniş bir yetki ile tüm bağlı cihazlara erişebildiği için ciddi bir güvenlik zafiyetidir. Ek olarak paylaşılan verilere göre saldırgan, oluşturduğu yeni Technician hesabının ilk oturumunda kendi çok faktörlü kimlik doğrulama (MFA) yöntemini tanımlayabiliyor. Bu sayede saldırgan 2FA takılmadan sistemlere erişebiliyor.

Dağıtılan Zararlı Yazılımlar

Gerçek saldırılardan alınan verilere göre aşağıdaki zararlı yazılımların dağıtıldığını gözlemlenmiştir.

• Djinn Stealer
• TaskWeaver

Özellikle Djinn Stealer, Windows, Linux ve macOS sistemlerini hedefleyebilen çok platformlu bir bilgi hırsızıdır. Tarayıcı kayıtlı şifreleri, oturum çerezleri, kripto para cüzdan bilgileri, kimlik bilgileri, sistem bilgileri gibi verileri hedef almaktadır.

Alınması Gereken Önlemler

Aşağıdaki kuruluşların öncelikli olarak sistemlerini kontrol etmeleri önerilmektedir:

• SimpleHelp kullanan şirketler
• Managed Service Provider (MSP) firmaları
• OpenID Connect (OIDC) entegrasyonu kullanan ortamlar
• İnternete açık SimpleHelp sunucuları

Alınacak önlemler şu şekildedir:

• SimpleHelp sunucunuzu en güncel sürüme yükseltin.
• İnternet erişimini yalnızca gerekli IP adresleriyle sınırlandırın.
• Beklenmeyen Technician hesaplarını kontrol edin.
• Son dönemde oluşturulan kullanıcı hesaplarını inceleyin.
• Şüpheli uzaktan bağlantıları analiz edin.
• IOC (Indicator of Compromise) taraması gerçekleştirin.
• Sunucu ve istemci loglarını düzenli olarak inceleyin.