Une faille dans un logiciel de télémaintenance, deux malwares jamais vus et une chasse aux identifiants les plus sensibles : la recette d’une campagne qui vise pile là où ça fait mal. Des attaquants exploitent la vulnérabilité CVE-2026-48558 dans SimpleHelp pour déployer TaskWeaver et Djinn Stealer, selon des éléments recoupés ce 30 juin 2026. L’attaque a été observée dans un incident suivi par Blackpoint, alors que la faille avait déjà été documentée par Horizon3.ai puis reprise par plusieurs organismes de sécurité.
Points clés
- La CVE-2026-48558 permet à un attaquant non authentifié de forger un jeton OpenID Connect et d’obtenir une session technicien sur SimpleHelp
- Environ 1 000 serveurs SimpleHelp exposés étaient en configuration vulnérable ; le correctif arrive avec 5.5.16 et 6.0 RC2
- TaskWeaver charge des modules Node.js et Djinn Stealer rafle clés SSH, tokens cloud/Git, secrets CI/CD, données d’assistants IA et wallets crypto
- CISA a ajouté la faille à son catalogue des vulnérabilités activement exploitées
Une faille d’authentification qui déroule le tapis rouge
SimpleHelp est un logiciel de remote monitoring and management (RMM) utilisé par les prestataires informatiques pour administrer postes et serveurs à distance. La CVE-2026-48558 touche son flux d’authentification OpenID Connect, quand celui-ci est activé. Dans cette configuration, un attaquant distant non authentifié peut soumettre un jeton forgé et décrocher une session technicien pleinement authentifiée. Pas de mot de passe, pas de barrière : juste un faux jeton et la porte s’ouvre.
Horizon3.ai a expliqué le 12 juin que la faille permettait de créer des comptes technicien à privilèges élevés, avec dans certains cas un contournement du MFA. Tenable, le NVD et le CERT Santé français ont ensuite repris la description technique. Blackpoint estime qu’environ 1 000 serveurs SimpleHelp exposés en ligne utilisaient alors une configuration vulnérable.
Le correctif est arrivé avec SimpleHelp 5.5.16 et la préliminaire 6.0 RC2. CISA a ajouté la faille à son catalogue des vulnérabilités activement exploitées après la publication de Blackpoint.
TaskWeaver charge, Djinn Stealer rafle
Dans l’incident analysé, l’accès obtenu via SimpleHelp a servi à déposer deux malwares jusqu’ici inconnus. Le premier, TaskWeaver, est un chargeur JavaScript obfusqué distribué sous le nom anodin de jquery.js. Il récupère la configuration de la machine compromise, dialogue avec son infrastructure de commandement et contrôle, puis charge d’autres modules JavaScript à exécuter dans Node.js.
Le second, Djinn Stealer, collecte en une seule passe les identifiants et secrets présents sur la machine. Au menu : comptes cloud, clés SSH, jetons de source control, identifiants d’outils de développement, données liées à des assistants IA, wallets de cryptomonnaies et données du navigateur. Une rafle méthodique plutôt qu’un chiffrement bruyant.
Selon l’analyse de Blackpoint, l’objectif dépasse largement le poste compromis. Des identifiants récupérés sur une machine de développeur ou d’administrateur peuvent ouvrir des dépôts de code, des comptes cloud ou des outils d’automatisation entiers. Une seule machine, et c’est tout l’environnement qui vacille.
Le vol de secrets chez les développeurs, sport en vogue
Cibler le cloud, le code, les outils IA et les wallets s’inscrit dans une tendance bien installée en 2026 : les attaquants cherchent moins à chiffrer les systèmes qu’à récupérer des accès réutilisables. L’accès RMM sert ici de point d’entrée vers une machine qui concentre souvent plusieurs couches de confiance (session SSO, clés SSH, tokens Git, secrets CI/CD, identifiants d’assistants IA).
Blackpoint décrit une chaîne d’intrusion qui détourne les capacités légitimes de SimpleHelp pour transférer des fichiers et exécuter des commandes sur les systèmes gérés. TaskWeaver est chargé depuis un domaine Cloudflare temporaire, puis livre Djinn Stealer. Une faille d’authentification se mue ainsi en campagne de vol de secrets à large spectre.
Côté défense, on conseille de scruter les journaux SimpleHelp à la recherche de techniciens ou d’adresses e-mail inconnus, de patcher les serveurs concernés et de considérer comme compromis tout identifiant accessible depuis les postes touchés. La règle est simple : si une machine infectée pouvait le lire, partez du principe qu’il est déjà ailleurs.
