CVE-2026-65400:悪用されるmacOS画面共有の脆弱性、Moneroマイナー展開の踏み台に

攻撃者らが、macOS標準機能である「画面共有」の重大な脆弱性を悪用し、有効な認証情報を一切持たずにMacコンピュータへアクセスする攻撃を開始しました。確認された複数の事例では、この不正な接続を確立した攻撃者がその後root権限を取得し、Monero暗号通貨マイナーをインストールしていたことが判明しています。

画面共有における認証バイパス

この脆弱性はCVE-2026-65400として追跡されており、画面共有機能に影響します。Appleの公式セキュリティ勧告によると、認証検証メカニズムの欠陥により、ネットワーク経由の攻撃者は有効な認証情報を持たないまま認可プロセスを完全に迂回できる状態にありました。Appleはこの問題について、ユーザー検証プロセス中の状態管理の不備が原因であるとしています。

Appleは深刻度9.8(緊急)と評価されたCVE-2026-65400を、8月6日にリリースしたmacOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9で修正しました。それぞれのシステム系統でこれより前のバージョンは、依然として脆弱な状態にあります。米国立脆弱性データベース(NVD)によると、CISAの評価ではシステムの機密性、完全性、可用性への潜在的な影響はいずれも最大級とされています。

パッチ公開から数日で実際の悪用を確認

パッチが提供されてからわずか数日後、実際の攻撃が確認されました。オランダの国家サイバーセキュリティセンター(NCSC)は公式勧告の中で、CVE-2026-65400がポート5900をインターネットに直接公開していた複数のコンピュータに対してすでに悪用されていたと報告しています。

同機関が確認した事例では、いずれのケースでも攻撃者が侵害されたMac上でroot権限を取得し、その後Moneroマイナーを展開していました。NCSCは、影響を受けたデバイスの総数、所有者の身元、そして攻撃者が標的候補をどのように特定したかについての詳細は明らかにしていません。

公開されたエクスプロイトコードで脅威がさらに拡大

8月12日には、実証済みのエクスプロイトコードが一般公開されたことで、事態はさらに深刻化しました。NCSCは勧告を更新し、エクスプロイトコードが公開されたこと、そしてこの脆弱性がすでに実環境で活発に悪用されていることという、2つの重要な進展を強調しています。

ユーザー操作は一切不要

CVE-2026-65400の悪用には、Macの所有者による操作は一切必要ありません。ファイルを開く必要も、リンクをクリックする必要も、接続を手動で承認する必要もないのです。現時点のNVDのデータによれば、この脆弱性は事前の権限やいかなる種類のユーザー操作も必要とせず、ネットワーク経由でリモートから悪用可能とされています。

推奨される対策

macOSユーザーには、Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9、またはそれ以降のバージョンのオペレーティングシステムを速やかにインストールすることが強く推奨されます。特に、画面共有が有効になっており、ポート5900をインターネットに直接公開しているMacについては注意が必要です。NCSCが実際の悪用を確認した事例では、いずれもまさにこの構成が使われていたためです。