%22%3E%3Cstop offset=%220%22 stop-color=%22%23D4A017%22 stop-opacity=%220.30%22/%3E%3Cstop offset=%220.55%22 stop-color=%22%238A6E2F%22 stop-opacity=%220.10%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/linearGradient%3E%3CradialGradient id=%22r%22 cx=%220.82%22 cy=%220.22%22 r=%220.7%22%3E%3Cstop offset=%220%22 stop-color=%22%23E8C040%22 stop-opacity=%220.22%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/radialGradient%3E%3C/defs%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%230A0A0F%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%23111118%22 opacity=%220.6%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23g)%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23r)%22/%3E%3Cg transform=%22translate(840 150) scale(3.0)%22 fill=%22%23E8C040%22 opacity=%220.17%22%3E%3Cpath d=%22M50 8 L84 20 V46 C84 70 68 86 50 92 C32 86 16 70 16 46 V20 Z%22/%3E%3C/g%3E%3Crect x=%2280%22 y=%22270%22 width=%2264%22 height=%226%22 rx=%223%22 fill=%22%23D4A017%22/%3E%3Ctext x=%2280%22 y=%2292%22 font-family=%22ui-monospace, 'SFMono-Regular', monospace%22 font-size=%2226%22 letter-spacing=%223%22 fill=%22%238484A0%22%3EDROKIO%3C/text%3E%3Ctext x=%2280%22 y=%22356%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3ESimpleHelp CVE-2026-48558%3C/text%3E%3Ctext x=%2280%22 y=%22420%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EUnder Active Exploitation:%3C/text%3E%3Ctext x=%2280%22 y=%22484%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3ETaskWeaver and Djinn Stealer…%3C/text%3E%3Crect x=%220.5%22 y=%220.5%22 width=%221199%22 height=%22629%22 fill=%22none%22 stroke=%22%232A2A3A%22 stroke-width=%221%22/%3E%3C/svg%3E)
Basado en información de The Hacker News →
Introducción
Una puerta abierta en el proceso de login mediante OIDC permitió que un atacante sin credenciales accediera a sistemas de soporte remoto. La vulnerabilidad ya está siendo explotada para sembrar dos familias de malware que hasta ahora no se habían visto en la naturaleza.
El problema
Según reportó The Hacker News, un actor de amenazas aún no identificado está aprovechando activamente la vulnerabilidad CVE-2026-48558 en SimpleHelp, una herramienta de asistencia remota. Esta falla, catalogada con un puntaje CVSS de 10.0 — severidad máxima — permite una evasión de autenticación en el flujo OpenID Connect (OIDC). Al explotarla, un atacante no autenticado puede bypassear el proceso de inicio de sesión y desplegar dos nuevas familias de malware que los investigadores han denominado TaskWeaver y Djinn Stealer.
Consecuencias
El impacto inmediato es la instalación de malware en equipos que actúan como Gateway hacia redes corporativas. TaskWeaver opera como un backdoor persistente, mientras que Djinn Stealer se enfoca en sustraer credenciales y datos sensibles. Una vez dentro, el atacante puede moverse lateralmente, comprometer otros sistemas y exfiltrar información crítica sin necesidad de superar barreras de autenticación adicionales.
Causas
La causa raíz, según los datos públicos disponibles, es un defecto en la implementación del flujo OpenID Connect de SimpleHelp que permite a un atacante remoto no autenticado eludir por completo el proceso de verificación de identidad. Se trata de un error de lógica en el manejo de tokens OIDC, no de una falla de cifrado ni de un error de buffer overflow clásico.