Celah Kritis SimpleHelp: Peretas Bisa Buat Akun Teknisi Siluman Tanpa Autentikasi

Para pengelola infrastruktur TI dan penyedia layanan keamanan (Managed Service Providers / MSP) diimbau untuk segera waspada. Sebuah celah keamanan kritis berstatus critical severity baru saja ditemukan pada perangkat lunak manajemen jarak jauh SimpleHelp.

Kerentanan yang diidentifikasi sebagai CVE-2026-48558 ini memungkinkan penyerang luar tanpa hak akses (unauthenticated attackers) untuk membuat akun teknisi dengan hak akses istimewa (privileged technician accounts) secara instan pada server target.

Celah berbahaya ini ditemukan oleh tim peneliti dari perusahaan keamanan ofensif Horizon3.ai dan berpusat pada kegagalan sistem dalam memvalidasi protokol autentikasi OpenID Connect (OIDC) yang biasa digunakan di lingkungan perusahaan skala besar.

Akar Masalah: Kegagalan Validasi Protokol OIDC

Menurut penjelasan peneliti Horizon3.ai, Zach Hanley, akar masalah dari CVE-2026-48558 terletak pada bagaimana server SimpleHelp melakukan verifikasi dan penegasan identitas (identity assertions) yang diterima dari penyedia identitas OIDC (Identity Provider / IdP), seperti Azure AD (Entra ID) atau penyedia OIDC generik lainnya.

Ketika fitur autentikasi OIDC aktif, peretas dapat memanipulasi celah ini untuk mendaftarkan diri mereka sebagai pengguna “Technician” baru secara ilegal. Serangan ini sangat berbahaya karena:

• Melewati MFA: Proses pendaftaran dan masuk (login) akun siluman ini dapat melompati seluruh dinding perlindungan Otentikasi Multi-Faktor (MFA).
• Hak Akses Penuh: Secara setelan bawaan (default), akun teknisi baru ini langsung mendapatkan hak istimewa untuk mengontrol komputer ujung (managed endpoints), mengeksekusi skrip berbahaya jarak jauh, hingga mengubah konfigurasi server.

Ruang Lingkup Dampak dan Syarat Eksploitasi

Berdasarkan pemindaian global via mesin pencari IoT Shodan, terdapat sekitar 14.000 server SimpleHelp yang terekspos ke internet publik. Analisis sampel acak menunjukkan bahwa sekitar 7,2% di antaranya dikonfigurasi menggunakan autentikasi OIDC.

Namun, perlu dicatat bahwa CVE-2026-48558 tidak berdampak pada seluruh server secara merata. Eksploitasi hanya akan berhasil jika server target memenuhi tiga syarat prasyarat berikut:

1. Fitur autentikasi OIDC atau Azure AD OIDC dalam kondisi Aktif.
2. Minimal ada satu Kelompok Teknisi (Technician Group) yang diasosiasikan dengan penyedia layanan OIDC tersebut.
3. Kelompok tersebut mengaktifkan opsi “Allow group authenticated logins”.

Daftar Versi Terdampak dan Solusi Tambalan

Celah keamanan ini berdampak pada lini versi produksi serta versi pra-rilis dari software SimpleHelp:

Pihak SimpleHelp dilaporkan telah merilis patch perbaikan resmi ini sejak 9 Juni 2026.

Langkah Mitigasi Darurat (Jika Belum Bisa Update)

Jika instansi Anda belum memungkinkan untuk melakukan proses update dalam waktu dekat, Horizon3.ai menyarankan satu langkah mitigasi darurat: Terapkan pembatasan sumber login teknisi menggunakan daftar putih berbasis IP (IP-based allowlists). Langkah ini memastikan hanya alamat IP jaringan internal kantor atau VPN resmi yang dapat mengakses gerbang login.

Panduan Deteksi Dini untuk Tim SOC (Threat Hunting)

Meskipun hingga saat ini belum ditemukan adanya bukti eksploitasi massal di dunia nyata, karakteristik software remote management selalu menjadi target buruan utama bagi para aktor ancaman (threat actors) tingkat tinggi untuk menyebarkan ransomware.

Tim pertahanan siber (Security Operations Center) disarankan melakukan investigasi dini dengan memeriksa indikator kompromi berikut:

1. Audit Pengguna Baru: Periksa apakah ada nama akun teknisi baru yang tidak dikenal atau menggunakan domain email mencurigakan.
2. Analisis Berkas Log: Buka direktori log server di alamat berikut:
   • /opt/SimpleHelp/logs/server.log
   • /opt/SimpleHelp/logs/<YYYYMMDD-HHMMSS>/server.log
3. Cari Aktivitas Spesifik: Sisir log tersebut dan cari jika ada riwayat registrasi teknisi baru (technician registrations), alamat email asing, serta perubahan konfigurasi sistem yang dilakukan secara mendadak oleh akun yang tidak dikenal.

Sumber: Horizon3.ai Offensive Security Research Lab