ZoriaNews

Ne oldu?

SimpleHelp uzaktan destek ve yönetim platformunda, Horizon3.ai güvenlik araştırmacıları tarafından keşfedilen ve CVE-2026-48558 koduyla izlenen kritik bir kimlik doğrulama atlatma zafiyeti ortaya çıktı. Sorunun temelinde, yazılımın OIDC (OpenID Connect) kimlik doğrulama akışında kimlik sağlayıcıdan (IdP) dönen JSON Web Token'ların kriptografik imzasını doğrulamaması yatıyor. Bu eksiklik, kimliği doğrulanmamış uzaktan saldırganın sahte bir token üretip keyfi kullanıcı talepleriyle (claims) sisteme girmesine olanak tanıyor. Başarılı bir girişin ardından saldırgan yeni bir teknisyen hesabı oluşturabiliyor, ilk oturumda kendi çok faktörlü doğrulama (MFA) cihazını kaydederek MFA korumasını atlayabiliyor ve yönetici yetkilerine sahip bir uzaktan destek oturumu edinebiliyor. SimpleHelp, zafiyeti 9 Haziran 2026'da yayımlanan 5.5.16 ile 6.0RC2 sürümleriyle kapatmıştır.

Neden önemli?

Teknisyen hesapları, SimpleHelp'in mimarisinde merkezi yetki unsurudur: bu hesaplar aracılığıyla BT ekipleri yönetilen uç noktalara uzaktan bağlanır, komut dosyası çalıştırır, dosya transferi gerçekleştirir, yazılım yükler ve yönetimsel ayarları değiştirebilir. Sahte bir teknisyen profiliyle sisteme giren saldırgan, kurumun uzak destek envanterindeki istemci bilgisayarları, sunucuları ve kritik uygulamaları adeta meşru bir yönetici gibi yönetmeye başlayabilir. Zafiyet, CWE-347 kapsamında 'imza doğrulamasının eksik veya hatalı olması' olarak sınıflandırılmıştır; bir kez atlatıldığında saldırgan fidye yazılımı dağıtımı, veri sızdırma veya kalıcı arka kapı bırakma gibi ikincil eylemlere zemin hazırlayabilir. Açık aynı zamanda çok faktörlü kimlik doğrulamayı da aşabildiğinden, yalnızca parola ve MFA'ya güvenen kurumlar için ek bir güvenlik düşürücü etki yaratır.

Saldırı, kullanıcıdan herhangi bir tıklama, parola girme veya kimlik avı e-postası okuma gibi etkileşim istemediğinden istismar oldukça sessiz ve ölçeklenebilirdir. Saldırganın tek ihtiyacı, sunucuya ağ üzerinden erişebilmek ve geçerli OIDC yapılandırmasını taklit edebilmektir. Bu özelliği, açığı fidye yazılımı operatörleri ve kurumsal ağlara erişmeye çalışan tehdit aktörleri için caziz kılar. CISA'nın CVE-2026-48558 için 2 Temmuz 2026'ya kadar yama uygulanması veya ürünün kullanımının durdurulması talimatı vermesi, zafiyetin ulusal altyapı güvenliği açısından yüksek öncelikli kabul edildiğini gösterir.

Kim veya ne etkileniyor?

Doğrudan etki alanı, SimpleHelp'i uzaktan destek veya uzaktan izleme aracı olarak kullanan ve 5.5.15 veya daha düşük sürümü, ya da 6.0'ın bazı ön sürümlerini (RC2 öncesi) çalıştıran kuruluşlardır. Yine de her sürüm otomatik olarak riskli değildir: açık yalnızca OIDC kimlik doğrulama hizmeti etkinleştirilmiş ve en az bir teknisyen grubunda 'Allow group authenticated logins' seçeneği açık olan kurulumlarda tetiklenebilir. OIDC kullanmayan, ilgili grup ayarını kapalı tutan veya IP tabanlı giriş kısıtlamasıyla saldırgan IP'sini engelleyen sunucular söz konusu istismara karşı güvendedir. Özellikle Azure AD veya genel OIDC ile büyük ölçekli cihaz envanterine erişimi olan kurumsal BT departmanları ve yönetilen hizmet sağlayıcıları (MSP) en yüksek risk grubundadır.

Ne yapılmalı?

En etkili koruma, acilen 5.5.16 veya 6.0RC2/sonraki kararlı sürüme yükseltmektir; zira SimpleHelp yamayı 9 Haziran 2026'da yayımladığından gecikmek, saldırganlara ek zaman tanır. Güncelleme anında mümkün olmayan kuruluşlar, öncelikle teknisyen girişlerini IP beyaz listesiyle sınırlandırmalı ve yalnızca yönetimsel olarak gerekli gruplarda 'Allow group authenticated logins' ayarını açık tutmalıdır. Yöneticiler Administration → Technicians ekranından grup kimliğiyle oturum açan teknisyen hesaplarını incelemeli, tanımadıkları veya ani oluşan hesapları pasifleştirmeli ve parolaları sıfırlamalıdır. OIDC kimlik sağlayıcı yapılandırması yeniden gözden geçirilmeli, token imzalama ve kullanıcı eşleme kuralları doğrulanmalıdır. Son olarak, kimlik doğrulama ve erişim günlüklerinde beklenmeyen IP'lerden gelen oturum açmalar, gece yarısı hesap oluşumları ve MFA kayıtları taranarak aktif istismar belirtileri aranmalıdır.