KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur untuk segera mewaspadai kerentanan kritis pada SimpleHelp yang teridentifikasi dengan nomor CVE-2026-48558. Kerentanan ini memperoleh skor CVSS v3.1 sebesar 10.0 (Critical) (CVSS v4.0: 9.5), telah dieksploitasi secara aktif di alam liar, dan telah masuk dalam katalog Known Exploited Vulnerabilities (KEV) CISA.
SimpleHelp merupakan perangkat lunak server dukungan jarak jauh (remote support) dan manajemen perangkat (RMM – remote monitoring and management) yang banyak digunakan tim TI dan helpdesk untuk mengendalikan serta memelihara endpoint dari jarak jauh. Kompromi terhadap server ini berdampak sangat serius karena satu akun teknisi dapat mengendalikan seluruh perangkat yang dikelola.
Ikhtisar
CVE-2026-48558 merupakan kerentanan authentication bypass yang berakar pada improper verification of cryptographic signature (CWE-347) di alur login OIDC (OpenID Connect) SimpleHelp. Token identitas yang dikirim saat proses login diterima tanpa verifikasi tanda tangan kriptografis, sehingga penyerang jarak jauh tanpa autentikasi dapat memalsukan token berisi klaim identitas sembarang dan memperoleh sesi Technician penuh — bahkan melewati MFA (multi-factor authentication).
Dampak
Eksploitasi yang berhasil dapat menimbulkan dampak sebagai berikut:
- Pemalsuan token identitas OIDC untuk memperoleh sesi Technician penuh tanpa autentikasi.
- Pelewatan MFA, karena teknisi baru dapat mendaftarkan MFA miliknya sendiri saat login pertama.
- Kendali administratif atas server SimpleHelp, termasuk mengakses dan mengendalikan endpoint yang dikelola dari jarak jauh, menjalankan skrip, serta melakukan aksi administratif lainnya.
- Pengambilalihan penuh infrastruktur akses jarak jauh, yang berujung pada penyebaran malware ke seluruh endpoint yang dikelola.
Sistem yang Terdampak
| Produk | Versi Terdampak | Versi Perbaikan |
|---|---|---|
| SimpleHelp (seri stabil 5.5.x) | Semua versi 5.5.15 dan sebelumnya | 5.5.16 atau lebih baru |
| SimpleHelp (prarilis 6.0) | Prarilis 6.0 hingga 6.0 RC1 | 6.0 RC2 |
Detail Teknis
Kerentanan hanya muncul apabila server SimpleHelp mengaktifkan login OIDC (baik melalui penyedia OIDC generik maupun Azure AD) dengan TechnicianGroup yang mengizinkan group authenticated logins. Pada konfigurasi tersebut, token identitas yang diterima server tidak diverifikasi tanda tangan kriptografisnya. Penyerang dapat menyusun token dengan klaim identitas sembarang, mengirimkannya ke endpoint login, lalu diterima seolah-olah sah. Karena teknisi yang baru masuk dapat mendaftarkan MFA-nya sendiri, lapisan autentikasi berlapis pun tidak menghalangi pengambilalihan.
Horizon3.ai mencatat sekitar 14.000 server SimpleHelp terekspos ke internet, dengan sekitar 7,2% dari sampel memakai konfigurasi OIDC yang rentan. Celah ini telah dieksploitasi secara aktif dan massal: penyerang menyalahgunakannya untuk menyebarkan loader TaskWeaver melalui berkas JavaScript terobfuskasi (jquery.js yang dijalankan lewat node.exe), yang kemudian mengirimkan infostealer Djinn Stealer — pencuri kredensial cloud, peramban, SSH, token developer/AI, hingga dompet kripto. Vendor telah merilis perbaikan pada 26 Mei 2026 (versi 5.5.16 / 6.0 RC2); kerentanan ini diungkap secara publik pada 12 Juni 2026 dan dimasukkan ke katalog KEV CISA pada 29 Juni 2026 dengan tenggat remediasi yang sangat singkat sesuai BOD 26-04.
Rekomendasi
- Lakukan pembaruan. Tingkatkan SimpleHelp ke versi 5.5.16 (seri stabil) atau 6.0 RC2 (prarilis) atau yang lebih baru, sesuai jalur rilis yang digunakan.
- Tinjau konfigurasi OIDC. Selama patch belum diterapkan, pertimbangkan menonaktifkan sementara login OIDC atau group authenticated logins pada TechnicianGroup yang rentan.
- Periksa indikasi kompromi. Tinjau akun Technician yang tidak dikenal atau pendaftaran MFA mencurigakan, serta cari berkas seperti jquery.js/node.exe yang tidak wajar pada endpoint yang dikelola.
- Batasi paparan. Pastikan antarmuka server SimpleHelp tidak terekspos langsung ke internet; batasi akses ke jaringan tepercaya melalui firewall atau VPN.
- Rotasi kredensial. Bila ditemukan tanda kompromi, ganti kredensial teknisi, cabut sesi aktif, dan rotasi rahasia yang mungkin tercuri.
- Pantau aktivitas. Aktifkan pemantauan dini terhadap upaya login dan aktivitas administratif tidak sah pada server SimpleHelp.
Perangkat Daerah yang menggunakan SimpleHelp dan membutuhkan pendampingan teknis dapat menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi.
Referensi
- NVD — CVE-2026-48558
- SimpleHelp — SimpleHelp Security Update 2026-05
- Horizon3.ai — Analisis CVE-2026-48558
- CISA — Known Exploited Vulnerabilities Catalog