Kerngegevens
- Leverancier
- SimpleHelp
- Product
- SimpleHelp
- Soort software
- –
- Getroffen versies
- SimpleHelp 5.5.15 en eerder, 6.0 pre-release versies
- Oplossing
- Update beschikbaar
- Opgeloste versie
- SimpleHelp 5.5.16
- CVE gepubliceerd
- 12 juni 2026
- Op de KEV-lijst sinds
- 29 juni 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 7 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In SimpleHelp, software voor hulp op afstand, zit een fout in het inloggen via OIDC. De server controleert de digitale handtekening van het identiteitstoken niet, waardoor een vervalst token wordt geaccepteerd. Een aanvaller kan zo zonder wachtwoord inloggen als technicus. Het lek wordt actief misbruikt.
Wie loopt risico?
Je loopt risico als je een SimpleHelp-server gebruikt met OIDC-authenticatie en een versie tot en met 5.5.15 of een 6.0 pre-release. De aanvaller hoeft alleen via het netwerk bij de server te kunnen en heeft geen account nodig. In sommige configuraties wordt ook meervoudige authenticatie (MFA) omzeild. Staat je server direct open op internet, dan is het risico het grootst.
Wat moet je doen?
Controleer of je SimpleHelp gebruikt
Ga na of je ergens een SimpleHelp-server hebt draaien, welke versie dit is en of OIDC-authenticatie is ingeschakeld.
Werk bij naar 5.5.16
Installeer SimpleHelp 5.5.16, de versie waarin dit lek is opgelost. Volg daarbij het beveiligingsadvies van de leverancier.
Gebruik je een 6.0 pre-release?
Voor de 6.0 pre-release is in de gegevens geen opgeloste versie genoemd. Volg het advies van de leverancier en beperk de blootstelling van de server.
Beperk toegang tot de server
Zorg dat de SimpleHelp-server niet onnodig vanaf internet bereikbaar is, bijvoorbeeld door toegang te beperken tot vertrouwde netwerken of via een VPN.
Controleer op sporen van misbruik
Kijk in de logboeken naar onverwachte technicus-sessies of aanmeldingen via OIDC. Het lek wordt actief misbruikt, dus onderzoek ook of je server al is aangevallen.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
In de OIDC-authenticatiestroom van SimpleHelp worden identiteitstokens die bij het inloggen worden aangeboden geaccepteerd zonder dat de cryptografische handtekening wordt gecontroleerd. Een aanvaller kan daardoor een vervalst token opstellen met willekeurige identiteitsclaims. Met dat token verkrijgt de aanvaller een volledig geauthenticeerde technicussessie. Het lek is op afstand en zonder authenticatie of gebruikersinteractie te misbruiken. Het geldt alleen als OIDC-authenticatie is geconfigureerd. In sommige configuraties kan ook MFA worden omzeild. Het lek heeft CVSS-score 9,5 (CVSS 4.0).
CVSS-vector (versie 4.0, basisscore 9,5, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-347 · Onjuiste controle van een cryptografische handtekening
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 5,7%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 29 juni 2026
- Deadline van CISA
- 2 juli 2026
- Gebruikt door ransomwaregroepen
- Niet bekend