Національний центр кібербезпеки Нідерландів (NCSC) попереджає, що хакери активно використовують вразливість обходу автентифікації в macOS, після того як у відкритий доступ потрапив код для її експлуатації.
Проблема безпеки стосується функції Screen Sharing в macOS, вбудованого інструменту для віддаленого доступу, який дозволяє керувати комп’ютером через мережу за допомогою протоколу VNC через TCP-порт 5900.
Apple виправила CVE-2026-65400 6 серпня у версіях macOS Tahoe 26.6.1 та попередніх. Ця вразливість дозволяє зловмисникам, що діють з мережі, отримати доступ без необхідності введення дійсних облікових даних.
Отримавши такий доступ, зловмисник може віддалено запускати програми, отримувати доступ до файлів, змінювати налаштування безпеки та виконувати інші дії.
У оновленні до початкової консультації нідерландське агентство повідомило, що отримало звіт про те, що ця вразливість використовується в реальних атаках, коли порт 5900 доступний з Інтернету.
За даними NCSC, зловмисники отримали root-доступ до системи та розгорнули майнер криптовалюти Monero.
«NCSC отримав повідомлення про те, що активне використання цієї вразливості було виявлено на кількох системах, на яких порт 5900 був доступний з Інтернету», — йдеться в оновленні нідерландського агентства.
«У всіх цих випадках було отримано root-доступ до ураженої системи, і на ній було розміщено майнер криптовалюти Monero».
Користувачам macOS рекомендується оновити свої системи до однієї з наступних версій, які виправляють CVE-2026-65400:
- macOS Tahoe 26.6.1
- macOS Sequoia 15.7.9
- macOS Sonoma 14.8.9
Ці оновлення покращують механізми керування станом для забезпечення правильної перевірки облікових даних та запобігання спробам несанкціонованої автентифікації.
Якщо негайне оновлення системи неможливе, користувачі можуть вимкнути Screen Sharing через Системні налаштування (Загальні → Спільний доступ → Screen Sharing), якщо ця функція їм не потрібна.
NSCS не надало жодних деталей щодо зареєстрованих атак, часу їх початку, чи виходять вони за межі майнінгу криптовалют, або скільки систем було уражено.
Після отримання зловмисниками дійсних облікових даних блокується лише 37% їхніх дій
Загальні показники запобігання можуть приховувати те, що відбувається після початкового доступу. Коли зловмисники використовують дійсні облікові дані, ефективність запобігання різко знижується.
The Blue Report 2026 вимірює ефективність захисту по кожній техніці на основі 338 мільйонів симуляцій, проведених у виробничих середовищах клієнтів.
Джерело новини: www.bleepingcomputer.com