- CVE‑2026‑65400 macOS画面共有の脆弱性、公開からわずか数日で暗号資産の不正マイニング（クリプトジャッキング）に悪用
- 攻撃者は公開されたポート5900経由でroot権限を取得し、XMRigを使ってMoneroマイナーを展開
- Appleはmacos Sequoia 15.7.9、Sonoma 14.8.9、Tahoe 26.6.1で修正パッチを提供、ユーザーには早急なアップデートを推奨
macOSの画面共有機能を悩ませていた脆弱性が、公開から1週間も経たないうちにクリプトジャッキング攻撃に使われていることが確認されました。
Bynario所属のセキュリティ研究者であるAlfredo Pesoli氏は、macOSの画面共有機能に認証に関する問題を発見し、Appleに報告しました。画面共有はmacOSに標準搭載されているツールで、ユーザーが別のMacデバイスに遠隔接続して操作できるものです。AnyDeskやTeamViewerといったサードパーティ製ツールと似た機能を持ち、クローゼットに保管されているMacや、リモートワーク・在宅勤務の従業員が使用するMacにIT部門がアクセスする際に重宝されています。
このバグを悪用すると、リモートの攻撃者は認証を回避し、有効な認証情報を持たなくても脆弱なMacデバイスにアクセスできてしまいます。原因は画面共有サーバーの認証プロセスにあるロジック上の不具合とみられ、このサービスがインターネットに公開されているシステムに影響を及ぼします。
オランダが警鐘を鳴らす
公開後まもなく、Appleは定例外の修正パッチをリリースしました。これは、この脆弱性が実際に危険なものであることを物語っています。「Appleが定例外でアップデートを配信するのは、重大な問題がある場合に限られます」と、セキュリティ研究者集団Califは技術解説記事で述べています。National Vulnerability Database(NVD)はこの脆弱性にCVE-2026-65400という識別子を割り当て、深刻度を9.6/10(緊急)としました。
このパッチがリリースされたのとほぼ同時期に、この脆弱性は2026年のBlack Hatカンファレンスでも取り上げられ、数日後にはデモ動画も公開されました。
Appleは、状態管理を改善することでこの問題を修正したとしており、macOS Sequoia 15.7.9、macOS Sonoma 14.8.9、macOS Tahoe 26.6.1で対応済みです。
そして公開から1週間も経たないうちに、研究者らはこのバグが実際のサイバー攻撃に悪用されていると報告しており、オランダの当局が最初に反応を示しました。
「NCSCは、ポート5900がインターネットからアクセス可能な状態にあった複数のシステムで、この脆弱性が実際に悪用されている事例を確認したとの報告を受けています」と、オランダの国家サイバーセキュリティセンター(NCSC)は機械翻訳版のレポートで述べています。「これらのケースではいずれも、影響を受けたシステムでroot権限が取得され、Moneroの暗号資産マイナーが仕込まれていました。」
なぜMoneroなのか
Moneroは、Bitcoinの代替として作られた暗号資産、いわゆる「アルトコイン」の一つです。12年以上前に登場した、現存するアルトコインの中でも最も古い部類に入ります。ほとんどの暗号資産はBitcoinの1回分の4年サイクルすら生き延びられないことが多いのですが、Moneroは、EthereumやLitecoin、Solanaなど一握りの通貨と同様に、生き残り続けています。
MoneroはBitcoinと同様に「マイニング(採掘)」が可能な点で似ています(例えばEthereumはこれができません)。異なるのはプライバシー面です。Bitcoinの取引が公開台帳に記録され、多くの場合追跡可能であるのに対し、Moneroは送金者・受取人・取引金額を秘匿するよう設計されています。残念ながら、このプライバシー機能は犯罪者をも引き寄せてしまっています。
犯罪者がクリプトジャッキングにMoneroを選ぶもう一つの大きな理由は、このアルトコインが汎用CPU向けに最適化されたプルーフ・オブ・ワーク(マイニング)アルゴリズムを採用している点です。これにより、一般的なサーバーやデスクトップPC、クラウドマシンでも比較的採算の取れるマイニングが可能になります。
明言はされていないものの、今回の事案で攻撃者がXMRigを展開していたと考えて差し支えないでしょう。XMRigは圧倒的に人気の高いクリプトジャッキングツールで、主にMonero(ティッカーはXMR)をマイニングします。
安全を確保するには
最善の対策は、Appleが公開したばかりのパッチを適用することです。これにより脆弱性は効果的に塞がれ、デバイスは安全な状態になります。すぐにパッチを適用できないユーザーは、画面共有機能をブロックし、実際に必要な時だけ有効にするようにしてください。設定方法は、システム設定 > 一般 > 共有に進み、画面共有のスイッチをオフにするだけです。
最後に触れておきたいのは、NCSCが強調している通り、犯罪者がこの脆弱性を悪用できるのは、標的デバイスのポート5900がインターネットに公開されている場合に限られるという点です。したがって、ルーターやファイアウォールでこのポートをブロックするよう設定することも有効ですが、これはあくまで最終手段として推奨するにとどめます。パッチを適用することが、依然として最善の方法です。
現時点では、この攻撃について犯行声明を出したグループはなく、他の目的に使われているという証拠もありません。とはいえ理論上は、データの持ち出しやマルウェアの展開、さらにはランサムウェア攻撃にも使われる可能性があります。
