ハッカーがmacOSの画面共有機能の脆弱性を悪用してMoneroマイナーを展開

オランダの国家サイバーセキュリティセンター(NCSC)は、macOSの認証バイパスの脆弱性を突く攻撃コードが公開された後、ハッカーがこの脆弱性を実際に悪用していると警告しています。

この問題は、TCPポート5900経由でVNCプロトコルを使用してネットワーク越しのリモートデスクトップ操作を可能にする、macOSの組み込み機能「画面共有(Screen Sharing)」に存在します。

Appleは8月6日、macOS Tahoe 26.6.1およびそれ以前のリリースにおいてCVE-2026-65400を修正しました。この脆弱性により、ネットワーク経由の攻撃者が有効な認証情報なしにアクセスできてしまいます。

攻撃者はこのアクセス権を悪用して、アプリケーションをリモートで開いたり、ファイルにアクセスしたり、セキュリティ設定を変更したりと、さまざまな操作を実行できる可能性があります。

オランダの当局は当初の勧告を更新する形で、ポート5900がインターネットに公開された状態の環境において、この脆弱性が実際の攻撃で悪用されているとの報告を受けたと述べています。

NCSCによると、攻撃者はシステムへのroot権限を取得し、Moneroの暗号通貨マイナーを展開したとのことです。

オランダ当局の更新情報には、次のように記されています。「NCSCは、ポート5900がインターネットからアクセス可能な状態にあった複数のシステムにおいて、この脆弱性の積極的な悪用が確認されたとの通報を受けています」

「これらのケースではいずれも、対象システムでrootアクセスが取得され、Moneroの暗号通貨マイナーが仕込まれていました」

macOSユーザーには、CVE-2026-65400に対応した以下のいずれかのリリースへアップグレードすることが推奨されています。

• macOS Tahoe 26.6.1
• macOS Sequoia 15.7.9
• macOS Sonoma 14.8.9

これらのリリースでは、正しい認証情報検証を強制し、不正な認証試行を防止するために、状態管理の仕組みが改善されています。

システムのアップデートがすぐに行えない場合、画面共有機能が不要であれば、システム設定(一般 → 共有 → 画面共有)から無効化することができます。

NCSCは、報告された攻撃に関する詳細(発生時期、暗号通貨マイニング以外への拡大の有無、影響を受けたシステムの台数など)を明らかにしていません。