Appleは、画面共有(Screen Sharing)機能に存在する深刻な脆弱性CVE-2026-65400に対処するため、緊急のmacOSアップデートを公開しました。この脆弱性を悪用すると、認証を経ていない攻撃者がリモートでコードを実行し、root権限でファイルにアクセスできてしまいます。
この脆弱性は画面共有サービスを実行しているシステムに影響し、同サービスが公開インターネットに露出している場合は特に危険性が高まります。
Appleが8月6日にリリースしたmacOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9では、この問題が完全に修正されています。管理者は直ちにアップデートを適用するか、パッチ適用が可能になるまで画面共有機能を無効化することが推奨されます。
CVE-2026-65400は、7月下旬に公表された別の画面共有関連の脆弱性CVE-2026-43760に続いて発見されたものです。両者はいずれもAppleのRemote Framebuffer(RFB)/VNC実装に関わるものですが、攻撃の成立条件は大きく異なります。
CVE-2026-43760は認証済みのコンテキスト混同(confused-context)問題でした。レガシーVNC認証を通じて接続したユーザーが、特権を持つファイル操作用ヘルパーを悪用し、root権限でファイルシステム上のオブジェクトを読み取ったり作成したりできるというものでした。
一方、CVE-2026-65400ではこうした前提条件が一切不要です。リモートの攻撃者は、有効なmacOSアカウントもレガシーVNCパスワードも必要としません。
Ryan Dowd氏の調査によれば、この新たな脆弱性はscreensharingdのSecure Remote Password(SRP)認証処理に起因しています。フレーム長の検証処理に誤りがあり、古い成功状態がそのまま返されてしまうため、本来は未認証の接続が認証済みとして扱われてしまうのです。
この結果として確立されるセッションには、本来期待される暗号による保護も欠けています。公開された概念実証(PoC)研究では、任意のファイルの読み取り・書き込みが可能であることが実証されており、その後の追加調査では、LaunchDaemonやシェル起動ファイルの改変といった永続化の手口を含む、リモートコード実行に至る経路も特定されています。
この影響をさらに大きくしているのが、画面共有機能が備える特権ヘルパーであるSSFileCopySenderとSSFileCopyReceiverです。今回の脆弱性が悪用される経路では、SSFileCopySenderがroot権限で動作し得るうえ、Apple独自のフルディスクアクセス権限であるkTCCServiceSystemPolicyAllFilesを保持しています。
この権限があると、macOSのTransparency, Consent and Control(TCC)によるファイルアクセス保護を回避できてしまい、機微なシステムデータやユーザーデータが露出する恐れがあります。
設定変更だけではCVE-2026-65400への対処にはなりません。承認済みの画面共有ユーザーを削除したり、レガシーVNC認証を無効化したり、VNCの認証情報をローテーションしたりしても、この脆弱性は認証が行われる前の段階で発生するため、悪用を防ぐことはできません。
ホスティングされているApple製ハードウェアや、新たにプロビジョニングされたMacインスタンスは特に注意が必要です。プロビジョニングの過程でリモート管理サービスが有効化されている場合があるためです。
セキュリティチームは、不審なエンドポイントセキュリティの画面共有イベントを調査することができます。悪意ある接続が成功した場合、authentication_typeがRSA-SRPではなくSRPとなり、session_usernameとauthentication_usernameがrootとして記録されることがあります。
macOSのrootユーザーはデフォルトで無効化されているため、root権限による画面共有セッションはそれ自体が異常な兆候といえます。
また、エンドポイントのテレメトリでは、screensharingdバンドルからSSFileCopySenderが起動される様子が確認できる場合があります。多くの場合、引数は「0 80」のような形式で、その後に通常とは異なるファイルシステムの列挙やファイルアクセスが続きます。
組織はすべてのMacの棚卸しを行い、インターネットから到達可能なホストを優先したうえで、26.6.1、15.7.9、または14.8.9へのアップデートを実施すべきです。すべてのシステムに一斉にアップデートを適用できない場合は、画面共有機能を無効化し、ネットワーク境界でリモート管理を制限してください。
この脆弱性が認証前に悪用可能であるという性質を踏まえると、対応の要となるのは認証情報の管理徹底ではなく、サポート対象となるすべての環境において例外なくパッチを適用することです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を包括的に高め、SOCを強化しMTTRを短縮しましょう
翻訳元: https://cyberpress.org/critical-macos-screen-sharing-flaw/