サポートツール「SimpleHelp」の脆弱性悪用を確認 - 米当局が注意喚起

リモートサポートツール「SimpleHelp」の脆弱性が悪用されているとして、米当局は注意喚起を行った。

「SimpleHelp」は、遠隔から端末の操作や保守を行うためのリモートサポート製品。IT部門や外部保守事業者による端末管理などで活用されている。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2026年6月29日、「CVE-2026-48558」を「悪用が確認された脆弱性カタログ（KEV）」へ追加。米行政機関に対し、7月2日までに対応するよう求めた。

「CVE-2026-48558」は、「OIDC（OpenID Connect）」による認証を利用する構成において、認証のバイパスが可能となる脆弱性。ログイン時に送信されたIDトークンについて、署名の検証が行われないことに起因している。

リモートより任意の識別情報を含む偽造されたトークンを送信することで、認証された技術者のセッションを取得することが可能。一部構成では多要素認証が回避されるおそれがある。

CVE番号を採番したVulnCheckでは、共通脆弱性評価システム「CVSSv4.0」におけるベーススコアを「9.5」、「CVSSv3.1」のベーススコアを最高値となる「10.0」と評価。重要度を4段階中もっとも高い「クリティカル（Critical）」としていた。

（Security NEXT - 2026/06/30 ）ツイート