Kritische Lücke in SimpleHelp: Angreifer übernehmen Fernwartungs-Server

In der weit verbreiteten Fernwartungssoftware SimpleHelp klafft eine kritische Sicherheitslücke: CVE-2026-48558 erlaubt es Angreifern, sich ohne gültige Zugangsdaten als Techniker anzumelden und die Kontrolle über den Server zu übernehmen. Die Lücke ist mit dem Höchstwert CVSS 10.0 bewertet und wird bereits aktiv ausgenutzt. Weil solche Software oft von IT-Dienstleistern eingesetzt wird, betrifft das auch KMU, die ihre IT ausgelagert haben.

Was ist passiert?

SimpleHelp ist eine RMM-Lösung (Remote Monitoring and Management), mit der IT-Teams und Dienstleister Rechner ihrer Kunden aus der Ferne warten. Der Fehler steckt in der Anmeldung über OpenID Connect (OIDC): Der Server prüft die kryptografische Signatur der Anmelde-Token nicht korrekt. Dadurch kann ein Angreifer aus dem Internet ein gefälschtes Token mit beliebigen Identitätsdaten erzeugen und sich damit eine voll authentifizierte Techniker-Sitzung verschaffen – ganz ohne Passwort.

Besonders kritisch: Selbst wenn eine Mehr-Faktor-Authentifizierung (MFA) erzwungen wird, lässt sich diese umgehen. Bei der ersten Anmeldung darf ein Techniker seine eigene MFA-Methode selbst registrieren – genau das nutzen die Angreifer aus.

Die Schwachstelle wurde am 12. Juni 2026 von den Forschern von Horizon3.ai veröffentlicht. Kurz darauf beobachteten mehrere Sicherheitsunternehmen (u. a. Arctic Wolf) aktive Angriffe. Die US-Behörde CISA nahm die Lücke Ende Juni in ihren Katalog bekannter ausgenutzter Schwachstellen auf und setzte Bundesbehörden eine Frist zum sofortigen Patchen.

Wer ist betroffen?

Betroffen sind SimpleHelp-Server, bei denen die Anmeldung über OIDC (generisch oder über Azure AD) aktiviert ist. Nach vorliegenden Herstellerangaben sind die Version 5.5.15 und älter sowie alle Vorabversionen von 6.0 verwundbar; behoben ist der Fehler in 5.5.16 bzw. 6.0 RC2.

Für KMU ist vor allem der indirekte Weg gefährlich: Viele nutzen SimpleHelp nicht selbst, sondern ihr IT-Dienstleister setzt es zur Fernwartung ein. Wird dessen Server übernommen, hat ein Angreifer potenziell Zugriff auf alle betreuten Kundennetze – ein klassisches Lieferketten-Risiko. In den beobachteten Angriffen wurde über einen Node.js-Loader (TaskWeaver) anschließend die Schadsoftware „Djinn Stealer“ verteilt, die Zugangsdaten aus Browsern, Cloud-Diensten, SSH-Schlüsseln und Krypto-Wallets abgreift.

Was jetzt zu tun ist

1. Server aktualisieren: Falls Sie SimpleHelp selbst betreiben, sofort auf die vom Hersteller gepatchte Version (5.5.16 bzw. 6.0 RC2) aktualisieren – vor jeder weiteren Nutzung.
2. Dienstleister fragen: Wenn Ihre IT extern betreut wird, fragen Sie aktiv nach, ob SimpleHelp oder eine andere RMM-Lösung eingesetzt wird und ob diese gepatcht ist.
3. Kompromittierung prüfen: Server-Logs auf unbekannte Techniker-Konten, ungewöhnliche Anmeldungen und Dateiübertragungen kontrollieren. Bei Verdacht Sitzungen beenden und Passwörter zurücksetzen.
4. Zugriff einschränken: Fernwartungs-Server nicht ungeschützt ins Internet stellen – wo möglich hinter VPN oder IP-Whitelisting betreiben.
5. Zugangsdaten rotieren: Wurde ein betroffener Server genutzt, alle darüber erreichbaren Konten und Schlüssel als potenziell kompromittiert behandeln und erneuern.

So hilft Binary System Services

Ausgelagerte IT ist bequem, aber die Sicherheit der eingesetzten Fernwartungswerkzeuge lässt sich von außen kaum beurteilen. Binary System Services prüft, welche Fernzugriffs- und RMM-Lösungen in Ihrer Umgebung im Einsatz sind, überwacht sicherheitsrelevante Hersteller-Warnungen und spielt kritische Updates geprüft und zeitnah ein. So bleibt der bequeme Fernzugang nicht zur offenen Hintertür. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.