C’e’ un programma che probabilmente non hai mai aperto, ma che ogni tanto compare sul tuo schermo quando chiami il tecnico: quello che gli permette di “prendere il controllo” del tuo computer da remoto per sistemare un problema. Uno dei piu’ diffusi si chiama SimpleHelp, e il 29 giugno 2026 l’agenzia americana per la cybersicurezza CISA ha messo una sua falla nell’elenco delle vulnerabilita’ gia’ sfruttate dagli attaccanti. Tradotto per chi fa impresa: non e’ piu’ un rischio teorico, e’ un problema che qualcuno sta usando adesso.
La parte controintuitiva e’ che riguarda anche chi non ha mai sentito nominare SimpleHelp. La maggior parte delle piccole imprese non amministra questi software in proprio: lo fa il fornitore IT, il consulente o l’MSP che gestisce i tuoi PC. Ed e’ proprio li’ che si annida il pericolo.
Cos’e’ un RMM e perche’ ti riguarda
SimpleHelp appartiene alla famiglia degli RMM (Remote Monitoring and Management): i software con cui un tecnico monitora e controlla a distanza tutti i computer dei propri clienti da un’unica console. Sono comodissimi e fanno risparmiare interventi in sede, ma hanno una caratteristica scomoda: chi controlla quella console, controlla tutti i PC collegati. Se il server del tuo fornitore viene violato, l’attaccante non entra in un solo computer: entra potenzialmente in tutti quelli che quel fornitore gestisce, te compreso.
Perche' una falla nel software del tuo fornitore IT diventa un problema tuo: un solo server compromesso apre la porta a tutti i PC che quel fornitore gestisce da remoto.
Cosa permette di fare la falla
La vulnerabilita’, identificata come CVE-2026-48558, colpisce le installazioni di SimpleHelp configurate con un certo tipo di login (l’autenticazione OIDC, OpenID Connect). Secondo i ricercatori di Horizon3.ai, un attaccante che non possiede alcuna credenziale puo’ crearsi da solo un account “Technician” sul server vulnerabile e usarlo per entrare nei computer gestiti ed eseguire comandi.
Il dettaglio piu’ insidioso riguarda l’autenticazione a due fattori: anche quando il server impone l’MFA ai tecnici, al primo accesso il tecnico puo’ registrare da se’ il proprio metodo MFA. Risultato: l’attaccante che si e’ appena fabbricato l’account imposta lui il secondo fattore e scavalca la protezione che dovrebbe fermarlo. E’ il tipo di accesso silenzioso da cui spesso parte un attacco ransomware.
Cosa significa “essere nel catalogo CISA”
Quando CISA inserisce una vulnerabilita’ nel suo catalogo KEV (Known Exploited Vulnerabilities) sta dicendo, sulla base di prove concrete, che quella falla e’ usata da attaccanti reali. Per le agenzie federali americane scatta l’obbligo di correggerla entro tempi stretti. Per un’impresa italiana non e’ un obbligo di legge, ma quel catalogo e’ uno dei termometri piu’ affidabili al mondo per capire a quali falle dare la precedenza: se una vulnerabilita’ e’ nel KEV, va in cima alla lista delle cose da chiudere.
Cosa fare lunedi’
Non serve che tu diventi un esperto di sicurezza. Serve una mail o una telefonata al tuo fornitore IT con tre domande precise:
- Usate SimpleHelp (o un altro software di assistenza remota) per gestire i nostri computer? Se si’, quale versione?
- Il vostro server e’ stato aggiornato alla versione che corregge la CVE-2026-48558 (le correzioni risultano incluse a partire dalla v5.5.16 e nei rami successivi)?
- Com’e’ configurata l’autenticazione (OIDC, MFA) e avete controllato che non siano stati creati account tecnico anomali nelle ultime settimane?
La leva piu' efficace e a costo zero per una PMI: trasferire la domanda giusta a chi gestisce davvero l'infrastruttura.
Se il fornitore conferma di aver aggiornato e di aver verificato gli accessi, il problema per te e’ chiuso. Se tentenna o non sa rispondere, hai appena scoperto una cosa importante sul tuo fornitore — ed e’ un buon momento per chiedere come gestisce in generale la sicurezza dei sistemi a cui affida i tuoi dati e i tuoi computer.