- ひとことでSimpleHelpで、OIDCのログインの署名を確かめず、偽のトークンで技術者として入られる弱点です。
- 深刻度10.0 緊急CVSS v3.1
- まずやることOIDCのログインを使っているか確かめる
基本情報（データから表示）
| CVE番号 | CVE-2026-48558 |
|---|---|
| 製品 | SimpleHelp SimpleHelp |
| 深刻度（CVSS） | 10.0 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| KEVへの追加日 | 2026-06-29 |
| 米国政府機関の対応期限 | 2026-07-02 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-347（電子署名の検証の不備） |
何が起きた
遠隔サポートのソフト SimpleHelp の OIDC（外部のサービスでログインする仕組み）のログインの処理に、認証をすり抜けられる弱点が見つかり、実際に悪用が確認されています。OIDC のログインを設定していると、ログインのときに送られる身元のトークンを、暗号の署名を確かめないまま受け付けていました。そのため、ログインしていない攻撃者に、偽のトークンを送られ、技術者として完全にログインされるおそれがあります。設定によっては、多要素認証もすり抜けられるおそれがあります。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
SimpleHelp の 5.5.15 以前と 6.0 の先行版で、OIDC のログインを設定している組織が影響を受けます。
何をすればいい
5.5 系は 5.5.16 に、6.0 の先行版は 6.0 RC2 以降に更新してください。
やることチェックリスト
- OIDCのログインを使っているか確かめる
- SimpleHelpを5.5.16（6.0はRC2）以降に更新する
- 技術者のログインの記録に不審なものがないか確かめる
用語メモ
- SimpleHelp
- 離れた場所からパソコンを操作してサポートするためのソフトです。
- OIDC
- ほかのサービスのアカウントを使ってログインできるようにする仕組み（OpenID Connect）です。
- 多要素認証 用語集で見る
- パスワードに加えて、スマートフォンの確認など別の方法も使って本人かを確かめる仕組みです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
SimpleHelp Authentication Bypass Vulnerability
概要
SimpleHelp contains an authentication bypass vulnerability in the OIDC authentication flow. When OIDC authentication is configured, identity tokens submitted during login are accepted without verifying their cryptographic signature. In a vulnerable configuration, a remote, unauthenticated attacker can submit a forged token containing arbitrary identity claims to obtain a fully authenticated technician session. In some configurations, this may also allow bypass of multi-factor authentication.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
この元データの出どころ: CISA KEV カタログで見る