脅威アクターが、最近パッチが適用されたmacOSの脆弱性を悪用し、root権限を取得してクリプトマイナーを展開していることが分かりました。
悪用された脆弱性はCVE-2026-65400として追跡されており、Screen Sharing(画面共有)機能における深刻度の高い認証の不備で、リモートの攻撃者が有効な認証情報なしにログインできてしまうというものです。
Appleは8月6日にこの脆弱性を公表し、macOS Tahoe 26.6.1、macOS Sequoia 15.7.9、macOS Sonoma 14.8.9で修正パッチを展開しました。
その約1週間後、オランダの国家サイバーセキュリティセンター(NCSC)は、公開されている概念実証(PoC)エクスプロイトの存在に後押しされる形で、実際の悪用が始まっていると警告しました。
「NCSCは、ポート5900がインターネットからアクセス可能な複数のシステムにおいて、この脆弱性の積極的な悪用が確認されたとの通報を受けています」とNCSCは述べています。
脅威アクターはこのセキュリティ上の欠陥を悪用して脆弱なシステムへのroot権限アクセスを取得し、Moneroマイナーをインストールしているとのことです。
「Appleはログイン認証情報の正しい検証を強制し、不正な認証試行を防止するため、状態管理の仕組みを改善しました」とNCSCは指摘しています。
AIセキュリティ企業のCalifによると、この脆弱性を悪用すれば、リモートの攻撃者はScreen Sharingが有効になっているmacOSシステムに対し、単にアカウント名を指定するだけで認証を突破できるとのことです。
「この脆弱性が必要とするのはアカウント名を指定することだけです。これはさほど高いハードルではありません。ユーザー名は秘密情報ではなく、macOSはログイン画面にそれを表示してしまうのです」とCalifは指摘しています。
ただし、CVE-2026-65400は、Screen Sharing接続の管理を担うデーモンであるscreensharingdにおいて最近パッチが適用された唯一の脆弱性というわけではありません。
7月下旬、Appleは同デーモンに存在する少なくとも4件の別の問題にもパッチを適用しました。このうち3件にはCVE識別子が付与されています。伝えられるところによれば、静かに修正された4件目の問題が最も深刻であり、認証されていない攻撃者がroot権限でリモートコード実行を行うことを可能にするものでした。
セキュリティ研究者のosxreverser氏によると、この問題は、攻撃者がIPアドレスを把握しており、かつSIPが無効になっている限り、Screen Sharingが有効なあらゆるmacOSを乗っ取るために悪用され得るとのことです。
この脆弱性は伝えられるところによると、ユーザーの操作を必要とせず、攻撃者は同一の接続を通じてリバースシェルとroot権限のcrontabの両方を仕掛けることが可能だったとされています。
8月8日、osxreverser氏は、インターネットからアクセス可能なmacOSシステムのうち約40,000台でScreen Sharingが有効になっており、これらのシステムが攻撃にさらされる可能性があると警告しました。
翻訳元: https://www.securityweek.com/recent-macos-screen-sharing-vulnerability-exploited-in-attacks/
