Un jeton bidon, et hop, une session technicien grande ouverte. Des attaquants exploitent CVE-2026-48558, une faille d’authentification dans le logiciel de support à distance SimpleHelp, pour déployer Djinn Stealer. Ce malware jusqu’ici inédit vise Windows, macOS et Linux.
Le problème touche au cœur du métier de SimpleHelp : la gestion et l’assistance à distance. Compromettre un tel serveur revient à décrocher un passe-partout vers les postes administrés, les sessions de support et les comptes techniciens. Les éléments techniques publiés en juin 2026 décrivent un contournement de l’authentification dans les configurations OIDC, avec en prime un risque de contournement du MFA dans certains cas.
Points clés
- CVE-2026-48558 permet de forger un jeton OIDC et d’obtenir une session technicien sans vérification de signature
- La faille touche SimpleHelp 5.5.15 et antérieures, corrigée dans les versions 5.5.16 et 6.0 RC2
- Les attaquants déploient Djinn Stealer, un infostealer ciblant Windows, macOS et Linux
- Environ 14 000 serveurs SimpleHelp sont exposés sur internet, dont une part vulnérable
Une faille d’authentification qui sert une session technicien sur un plateau
CVE-2026-48558 concerne les versions SimpleHelp 5.5.15 et antérieures, ainsi que les préversions de la branche 6.0, dès lors que l’authentification OpenID Connect (OIDC) est activée. Un attaquant distant non authentifié soumet un jeton forgé et récupère une session technicien pleinement authentifiée. La cause tient en une ligne : le serveur ne vérifie pas la signature cryptographique du jeton.
Les chercheurs de Horizon3.ai, cités par plusieurs analyses de sécurité, précisent que l’exploitation suppose plusieurs conditions réunies : un fournisseur OIDC configuré sur le serveur, un groupe de techniciens lié à ce fournisseur et l’option autorisant les connexions authentifiées par groupe. SimpleHelp a corrigé le tir dans les versions 5.5.16 et 6.0 RC2, diffusées fin mai 2026. Les administrateurs qui n’ont pas encore appliqué le correctif sont priés de limiter l’exposition réseau du serveur et d’éplucher les journaux à la recherche de créations de comptes suspectes.
Selon le bulletin technique repris par plusieurs sites de sécurité, la faille permet à un attaquant distant de « créer une session technicien pleinement authentifiée » à partir d’un jeton forgé.
Djinn Stealer, un voleur d’identifiants qui ne fait pas de favoritisme
La vraie nouveauté, c’est le déploiement de Djinn Stealer, un infostealer multiplateforme qui s’invite aussi bien sur Windows que sur macOS et Linux. Le détail de ses capacités internes reste flou, mais viser trois systèmes d’exploitation élargit nettement la surface d’impact au-delà du seul poste Windows habituellement ciblé.
Les infostealers récoltent en général identifiants, cookies de session, jetons d’authentification, données de navigateur et parfois des portefeuilles numériques. Dans un environnement de support à distance, un compte technicien compromis devient un trampoline vers les autres machines branchées au même serveur. C’est exactement ce scénario qui rend une faille dans un outil RMM (gestion et supervision à distance) aussi explosive.
Encore un outil d’administration exposé à tous les vents
Les analyses de juin 2026 dénombrent environ 14 000 serveurs SimpleHelp exposés sur internet, dont une part jugée vulnérable selon les critères des chercheurs. Les recommandations convergent : installer la version corrigée, vérifier les comptes techniciens, restreindre les accès par adresse IP et traquer toute activité de support inhabituelle depuis le début de la période d’exposition.
Pour les équipes qui font tourner SimpleHelp, le mot d’ordre est simple : si le serveur a été exposé avant la mise à jour, traitez l’incident comme une compromission possible. Le correctif ferme la porte aux nouvelles tentatives d’abus de CVE-2026-48558. Il ne dira jamais si quelqu’un est déjà passé par là.
