Національний центр кібербезпеки Нідерландів (NCSC) попереджає про активне використання хакерами вразливості обходу автентифікації в macOS після появи загальнодоступного коду для її експлуатації.
Проблема безпеки полягає в Screen Sharing (Спільний доступ до екрана) в macOS, вбудованій функції віддаленого доступу, яка дозволяє керувати іншим комп’ютером через мережу, використовуючи протокол VNC через TCP-порт 5900.
Apple виправила CVE-2026-65400 6 серпня в macOS Tahoe 26.6.1 та попередніх версіях. Ця помилка дозволяє зловмисникам, які діють через мережу, отримати доступ без дійсних облікових даних.
Зловмисник може використовувати цей доступ для віддаленого запуску програм, доступу до файлів, зміни налаштувань безпеки та виконання різноманітних інших дій.
У оновленні до початкового повідомлення нідерландське агентство заявило, що отримало звіт, який вказує на те, що вразливість використовується в реальних атаках, коли порт 5900 доступний через Інтернет.
За даними NCSC, зловмисник отримав root-доступ до системи та розгорнув майнер криптовалюти Monero.
«NCSC отримав повідомлення про те, що активне зловживання цією вразливістю було помічено на кількох системах, на яких порт 5900 був доступний з Інтернету», — йдеться в оновленні нідерландського агентства.
«У всіх цих випадках було отримано root-доступ до системи, і було встановлено майнер криптовалюти Monero».
Користувачам macOS рекомендується оновити свої системи до однієї з наступних версій, які усувають CVE-2026-65400:
- macOS Tahoe 26.6.1
- macOS Sequoia 15.7.9
- macOS Sonoma 14.8.9
Ці випуски покращують механізми керування станом для забезпечення правильної перевірки облікових даних та запобігання несанкціонованим спробам автентифікації.
Якщо оновлення системи неможливе негайно, користувачі можуть вимкнути Screen Sharing через Системні параметри (Загальні → Спільний доступ → Спільний доступ до екрана), якщо ця функція їм не потрібна.
NSCS не надав жодних деталей щодо звітів про атаки, коли вони розпочалися, чи виходять вони за межі майнінгу криптовалют, або скільки систем було уражено.
Після отримання дійсних облікових даних блокується лише 37% дій зловмисника
Загальні показники запобігання можуть приховувати те, що відбувається після початкового доступу. Коли зловмисники використовують дійсні облікові дані, рівень запобігання різко падає.
The Blue Report 2026 оцінює методи захисту окремо на основі 338 мільйонів симуляцій, проведених у реальних виробничих середовищах клієнтів.
Подробиці можна знайти на сайті: www.bleepingcomputer.com