Appleは、画面共有(Screen Sharing)機能に存在する深刻な脆弱性を修正する緊急macOSアップデートを配信しました。CVE-2026-65400として追跡されているこの脆弱性は、認証を経ていないリモート攻撃者が任意のコードを実行し、root権限でファイルにアクセスすることを可能にするものです。
Hacking& Cracking
この脆弱性は、画面共有機能がインターネットに公開されているシステムにおいて特に深刻です。Appleが8月6日にリリースしたmacOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9では、この問題が完全に修正されています。管理者は直ちにアップデートを適用するか、画面共有機能を完全に無効化することが推奨されます。
CVE-2026-65400は、7月下旬に公表された別の画面共有関連の脆弱性CVE-2026-43760に続くものです。両者ともAppleのRemote Framebuffer(RFB)/VNC実装に起因していますが、悪用に必要な条件は大きく異なります。
深刻なmacOS RCE脆弱性
CVE-2026-43760は認証を要する「コンテキスト混同」問題でした。レガシーVNC認証を通じて接続したユーザーが、特権を持つファイル操作ヘルパーを悪用し、root権限でファイルシステムオブジェクトの読み取りや作成を行えるというものです。
これに対しCVE-2026-65400は、この前提条件を完全に取り払ったものです。リモート攻撃者は、有効なmacOSアカウントもレガシーVNCパスワードも必要とせずに攻撃を成功させることができます。
研究者のRyan Dowd氏が突き止めたところによると、この新たな脆弱性はscreensharingdのSecure Remote Password(SRP)認証処理に起因しています。フレーム長の検証処理に欠陥があり、古い成功状態が返されてしまうため、サービスは認証されていない接続を正当に認証されたものとして扱ってしまいます。
その結果生成されるセッションには、本来正当なSRP交換が提供するはずの暗号学的な保護も欠けています。公開されている概念実証(PoC)研究では、すでに任意のファイル読み書きが実証されており、それに続く調査では、LaunchDaemonsやシェル起動ファイルの改変を通じた永続化を含め、完全なリモートコード実行に至る経路が特定されています。
この影響をさらに大きくしているのが、画面共有機能の特権ヘルパープロセスであるSSFileCopySenderとSSFileCopyReceiverです。影響を受けるコードパスにおいて、SSFileCopySenderはAppleの非公開のフルディスクアクセス権限(エンタイトルメント)kTCCServiceSystemPolicyAllFilesを保持したままroot権限で実行される可能性があります。
このエンタイトルメントはmacOSのTransparency, Consent and Control(TCC)保護を回避するため、設定されているプライバシー設定に関係なく、機密性の高いシステムデータやユーザーデータが露出する恐れがあります。
重要なのは、設定面での対策強化が効果を持たないという点です。承認済みの画面共有ユーザーを削除したり、レガシーVNC認証を無効化したり、VNCの認証情報をローテーションしたりしても、悪用を防ぐことはできません。これは、この脆弱性が認証処理が行われる前の段階でトリガーされるためです。
Hacking& Cracking
セキュリティチームは、Endpoint Securityの画面共有関連イベントに異常な兆候がないか調査すべきです。悪意ある接続が成功した場合、authentication_typeがRSA-SRPではなくSRPに設定され、session_usernameとauthentication_usernameの両方がrootとして記録される可能性があります。macOSはデフォルトでrootアカウントを無効化しているため、これは異常な兆候です。
テレメトリからは、screensharingdバンドルからSSFileCopySenderが起動される様子が確認できる場合もあり、その際は"0 80"に類似した引数を伴い、その後に不審なファイルシステムの列挙やファイルアクセスの活動が続くことがあります。
組織はすべてのMacエンドポイントを棚卸しし、ホスト型のApple製ハードウェアや、リモート管理サービスがデフォルトで有効になっている可能性がある新規プロビジョニングのインスタンスなど、インターネットから到達可能なホストを優先的に確認したうえで、遅滞なく26.6.1、15.7.9、または14.8.9へアップデートする必要があります。
直ちにパッチを適用できない場合は、画面共有機能を無効化し、ネットワーク境界でリモート管理を制限してください。CVE-2026-65400は認証前に悪用可能という性質を持つため、サポート対象のすべてのmacOS環境において、パッチ適用だけが決定的な対策とはならない点に注意が必要です。
新たなフィッシングやマルウェアが貴社を侵害する前に阻止しましょう。 世界15,000のSOCからのリアルタイムインテリジェンスを統合
翻訳元: https://gbhackers.com/critical-macos-rce-vulnerability/
