macOSの画面共有機能の脆弱性、実際に悪用が進行中

悪意ある攻撃者が現在、macOSに存在する重大な脆弱性を悪用しています。具体的には、攻撃者は「画面共有(Screen Sharing)」機能が有効化され、外部に露出しているコンピュータを標的としています。彼らは資格情報の検証を突破し、瞬時にroot権限を取得します。その後、Moneroのクリプトマイナーをインストールします。確認された事例では、いずれの被害者もポート5900をインターネットに直接露出させていました。

脆弱性レポート: CVE-2026-65400

この重大な脆弱性にはCVE-2026-65400という識別子が付与されています。macOSに標準搭載されているリモート画面アクセス機能に直接影響を及ぼすもので、根本的な欠陥は認証ロジックの内部に存在しています。

認証バイパスの仕組み

システムは特定の一連のネットワークメッセージのやり取りにおいて、ユーザー認証の段階を正しく追跡できていませんでした。その結果、正しいパスワードなしでもアクセスが許可されてしまいます。Appleはこの深刻な影響について明確に説明しています。ネットワーク経由でMacにアクセスできる攻撃者は、有効な資格情報を持たずとも画面共有内で認証を通過できるとしています。この問題への対処として、Appleは認証プロセスの状態管理を修正しました。現在のmacOSでは、正しい資格情報のみを厳密に要求・受理するようになっています。

パッチの提供とインシデント報告

Appleは8月6日、macOS Tahoe 26.6.1で正式にパッチをリリースしました。同時に、macOS Sequoia 15.7.9およびmacOS Sonoma 14.8.9にもパッチが適用されています。このアップデートの公開から間もなく、実際に悪用されているという報告が浮上しました。オランダの国家サイバーセキュリティセンター(NCSC)が公開したmacOSにおけるCVE-2026-65400の悪用に関する公式脆弱性勧告を確認できます。

オランダのNCSCには、ポート5900をインターネットに露出させた状態で感染したシステムに関する報告が複数寄せられています。確認されたすべての事例において、攻撃者はroot権限を取得し、Moneroのクリプトマイナーを展開していました。調査担当者は、最初の攻撃が発生した正確な時期や、侵害を受けたマシンの総数についてはまだ特定できていません。さらに、8月6日のパッチ公開以前にこの脆弱性が実際に悪用されていたかどうかも、現時点では不明です。

root権限昇格の深刻さ

root権限の取得は、今回の脆弱性がもたらす潜在的な影響を正確に評価するうえで特に重要なポイントです。画面共有機能への受信接続を処理するのはscreensharingdサービスプロセスですが、このサービスはシステム上で最大限の権限を持って動作しています。したがって、悪用に成功した場合の影響は、単に一般ユーザーアカウントへのアクセスを許してしまうという範囲をはるかに超えます。

攻撃者はオペレーティングシステム全体に干渉できる恐るべき能力を手にします。最高レベルの管理者権限を持つ悪意あるプログラムを、いとも簡単にインストールできてしまうのです。今回判明したMoneroクリプトマイナーの発見は、既知の感染事例における初期段階の知見にすぎません。侵害成功後に取り得る破壊的行為の全容を反映しているわけでは決してありません。

画面共有機能の脆弱性の歴史

CVE-2026-65400は、macOSのリモート管理コンポーネントにおける孤立した不具合ではありません。7月27日、AppleはmacOS Tahoe 26.6をリリースし、画面共有サーバーに関する他の深刻な問題をいくつか修正しています。

• CVE-2026-43779: あるアプリケーションが、本来まったく別のプロセス宛てのネットワーク接続を傍受できてしまう問題
• CVE-2026-43777: リモート攻撃者が意図的にサービス拒否(DoS)状態を引き起こせる問題
• CVE-2026-43760: 極めて機密性の高いユーザーデータへの不正アクセスを許してしまう問題

レガシーVNC機構の危険性

CVE-2026-43760は、その影響の深刻さから特に大きな注目を集めました。この攻撃を実行するには、画面共有またはリモート管理機能が有効になっている必要があります。また、VNCクライアントによるパスワードを用いた画面制御が許可されており、攻撃者がその特定のVNCパスワードを知っている必要もありました。認証に成功すると、レガシーなVNC機構により、リモートクライアントはroot権限で保護されたファイルを画面共有機能に読み取らせることができてしまいます。

恐ろしいことに、逆方向の操作も同様に危険であることが判明しました。攻撃者はroot権限を持つユーザーとして、独自のファイルを書き込むことができたのです。研究者たちはこの2つ目の機能を利用し、sudoers設定に明示的な許可ルールを直接挿入することに成功しました。この単純なファイル書き込み操作を経ることで、ファイル転送プロセスは瞬く間に、最大権限で任意のリモートコマンドを実行するための信頼性の高い手段へと姿を変えてしまいます。

技術的な単純さとAI支援による発見

これと並行して、研究者たちはscreensharingd内にある、悪用がさらに容易な別の不具合を発見しました。画面共有機能が露出したMacへの侵入には、ユーザーパスワードもVNCパスワードも一切必要ありませんでした。攻撃者に必要なのは、対象マシンのIPアドレスと、そのサービスへの基本的なネットワーク接続性のみでした。macOS Tahoe 26.6は7月27日にこの特定の脆弱性を事実上封じましたが、Appleはこれに専用のCVE識別子を割り当てることはありませんでした。

認証前の状態遷移における不具合

macOS 26.6で修正された認証前の脆弱性と、CVE-2026-65400は同一のコンポーネント内に存在するものの、機能の仕方はそれぞれ異なります。前者の不具合はコード内の不適切な戻り値に起因するものでした。一方、CVE-2026-65400は認証状態の必須シーケンスそのものを破綻させます。これを悪用するには、攻撃者は有効なアカウント名を提示する必要がありますが、パスワードは不要です。これら2つの重大な不具合は、まったく同一のソースファイル内に存在していました。

悪用のしやすさ

両方の攻撃に共通する技術的な単純さは、特に憂慮すべき点です。悪用の成功には、複雑なメモリ破壊やヒープレイアウトの操作、ASLR回避、レースコンディションといった高度な技術は一切不要です。攻撃者は、脆弱なMacに対して正しい順序で1つか2つの特定のネットワークパケットを送信するだけで済みます。専門家によると、この単純な手法は無防備なシステム上で確実に再現できるとのことです。

迅速なリバースエンジニアリング

詳細な技術的説明がない状態でも、専門家たちはmacOS 26.6と26.6.1の実行ファイルを比較しました。彼らはAppleが行った変更を素早く特定し、完全に機能するエクスプロイトを構築しました。その後、バージョン26.5.2と26.6を比較し、最初の不具合の悪用を再現することにも成功しています。2つの動作する攻撃バリエーションの開発にかかった時間は、わずか約4時間でした。アナリストたちは調査全体を通じてAIツールを大いに活用しました。例えば、自動化されたGPT-5.5システムが、以前に修正された画面共有関連の不具合のひとつを実際に発見しています。

取るべき対策と緩和策

Macの所有者は、macOS Tahoe 26.6.1、Sequoia 15.7.9、またはSonoma 14.8.9を直ちにインストールする必要があります。即座のアップデートが難しい場合、管理者はリモートアクセス機能を完全に無効化しなければなりません。ポート5900を絶対にインターネットへ直接露出させないでください。

該当の設定項目は次の場所にあります: Appleメニュー → システム設定 → 一般 → 共有 → 画面共有。さらにAppleは、「画面共有」と「リモート管理」を同時に有効化することはできないと明確に説明しています。