リモートサポートツール「SimpleHelp」に深刻な認証バイパスの脆弱性（CVE-2026-48558）判明、すでに悪用も

要点

• リモートサポートツール「SimpleHelp」の旧バージョンに、認証を完全に回避できる深刻な脆弱性（CVE-2026-48558）が確認された。
• OIDC（OpenID Connect）認証時の暗号署名検証不備が原因であり、攻撃者は偽造トークンで技術者セッションを不正取得できる。
• CVSSスコアでは最高値の「10.0（CRITICAL）」が算出され、設定次第では多要素認証（MFA）もバイパスされる恐れがある。
• 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は悪用確認済みの脆弱性カタログ（KEV）に追加し、迅速な対処を要求した。
• 開発元のSimpleHelpはすでに修正用のセキュリティアップデートを公開しており、速やかな適用が呼びかけられている。

リード文

リモートサポートソフトウェア「SimpleHelp」において、認証手続きを完全に回避できる深刻な脆弱性（CVE-2026-48558）の存在が明らかになった。本情報は米国国家脆弱性データベース（NVD）などを通じて公開され、脆弱性情報の登録機関（CNA）であるVulnCheckらによって詳細が報告された。すでに実際の攻撃で活発に悪用されていることが確認されており、米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）も警告を発している。

本文（事実の紹介）

脆弱性の概要と影響範囲

本脆弱性の対象となるのは、SimpleHelpのバージョン5.5.15以前、およびバージョン6.0のプレリリースバージョンである。

この脆弱性は、OIDC（OpenID Connect：ユーザーの身元確認を行うための認証プロトコル）の認証フローにおける欠陥に起因する。OIDC認証の構成下において、ログイン時に送信されるアイデンティティトークン（身元情報を証明するデータ）を受け取る際、ソフトウェア側が暗号署名を検証せずに受け入れてしまう問題が存在する。

この「CWE-347（暗号署名の不適切な検証：データの信頼性を確認する署名チェックが不十分な状態）」に分類される不具合により、ネットワーク経由でアクセス可能なリモートの攻撃者は、特別な権限を持たない状態であっても、任意のクレーム（ID情報などの属性値）を書き込んだ偽造トークンを送信するだけで、完全に認証された技術者としてのセッションを取得できてしまう。さらに、システム側の設定によっては、多要素認証（MFA：パスワードのほかにワンタイムパスワードなどを組み合わせる認証方式）すらもバイパスされてしまう危険性があるという。この一連の攻撃を実行するにあたり、正規ユーザーによる操作は一切必要とされない。

極めて高い深刻度と評価基準

本脆弱性の深刻度は極めて高い。VulnCheckが公開した評価によると、脆弱性の深刻度を評価する基準であるCVSS（Common Vulnerability Scoring System）のバージョン3.1において、ベーススコアは最高値の「10.0（CRITICAL）」に達している。

また、最新の基準であるCVSS 4.0においても「9.5（CRITICAL）」という極めて高いスコアが算出された。CVSS 4.0の評価が示す通り、この攻撃はネットワーク経由で容易に実行でき、特別な権限やユーザーの操作も不要とされる。一方で、侵害された際の影響範囲は最大級であり、システム全体が乗っ取られる深刻な事態をもたらす。

CISAによる注意喚起と緊急の対処義務

CISA（米国土安全保障省のサイバーセキュリティ・インフラセキュリティ庁）は2026年6月29日、本脆弱性を「悪用が確認されている脆弱性カタログ（KEV：実際に攻撃に使われたことが判明している脆弱性の一覧）」に追加した。これに伴い米連邦政府機関などは、2026年7月2日までに緩和策を適用するか、製品の使用を停止するよう命じられている。

また、CISA-ADPが更新したSSVC（脆弱性の優先度判定モデル）の情報では、本脆弱性が実際に「活発に悪用されている」こと、攻撃の「自動化が可能である」こと、そして「技術的影響が全面的である」ことが明記されている。

外部調査と開発元の対応

本脆弱性に関連し、複数のセキュリティ企業からも詳細な解析情報やアドバイザリが公開されている。

セキュリティ企業であるBlackpoint Cyberがブログ記事で技術的な侵入チェーンを解説したほか、Horizon3.aiも侵害の痕跡（IoC：攻撃を受けたことを示す形跡）を記載したレポートを公開している。

開発元であるSimpleHelpは、本脆弱性に対応するためのセキュリティアップデート「SimpleHelp Security Update 2026-05」および最新のリリース情報を公式ウェブサイト上で公開している。影響を受けるバージョンを使用している管理者に対しては、速やかにこれらの公開情報を確認し、対策を適用することが強く推奨されている。