Apple a corrigé une vulnérabilité critique de Partage d'écran macOS après que des attaquants ont exploité des Mac exposés à Internet pour obtenir un accès root et installer un logiciel de minage de Monero, selon un avertissement mis à jour du Centre national de cybersécurité des Pays-Bas.
Résumé
- Apple a corrigé CVE-2026-65400 après que des attaquants ont exploité les services de Partage d'écran Mac pour installer à distance des mineurs de Monero.
- Les responsables néerlandais de la cybersécurité ont confirmé que les Mac compromis avaient un accès root et un logiciel de minage de Monero non autorisé installé.
- CISA attribue désormais à cette faille d'authentification un score critique de 9,8, contre 7,1 précédemment dans son évaluation globale.
- Huntress a trouvé des dizaines de milliers de Mac potentiellement exposés, en particulier des systèmes Apple nus hébergés sur Internet dans le monde entier.
- Changer les mots de passe de Partage d'écran ne peut pas corriger la faille ; les Mac concernés nécessitent immédiatement les mises à jour de sécurité d'Apple.
Le NCSC néerlandais a mis à jour son avis le 12 août pour confirmer l'exploitation active de CVE-2026-65400 sur plusieurs systèmes avec le port 5900 exposé à Internet. Dans chaque cas signalé, les attaquants ont obtenu un accès root et installé un mineur de Monero. L'agence n'a pas divulgué combien de Mac ont été compromis ni identifié les attaquants.
La faille de Partage d'écran d'Apple contourne l'authentification
Apple a corrigé CVE-2026-65400 le 6 août dans macOS Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9. La société l'a décrite comme une faille d'authentification causée par une mauvaise gestion d'état qui pourrait permettre à un attaquant sur le réseau d'accéder au Partage d'écran sans informations d'identification valides.
La société de sécurité Huntress a constaté que la faille affecte le processus d'authentification Secure Remote Password utilisé par le Partage d'écran macOS. Son analyse a montré qu'un attaquant pouvait amener le service à traiter une connexion non authentifiée comme authentifiée et obtenir un accès privilégié.
Parce que l'exploitation se produit avant l'authentification normale, Huntress a déclaré que changer un mot de passe de Partage d'écran, désactiver l'authentification VNC héritée ou supprimer les comptes d'utilisateurs autorisés ne résout pas la vulnérabilité. La solution recommandée est d'installer la dernière mise à jour de sécurité d'Apple ou de désactiver le Partage d'écran jusqu'à ce que le système puisse être corrigé.
Des dizaines de milliers de Mac peuvent avoir été exposés
Le chercheur de Huntress, Ryan Dowd, a déclaré qu'une recherche Censys a identifié « des dizaines de milliers d'hôtes potentiellement vulnérables ». Cette estimation couvre les Mac qui semblaient exposés à Internet et ne doit pas être interprétée comme des dizaines de milliers de compromissions confirmées.
Le risque est particulièrement pertinent pour les Mac nus hébergés, y compris les Mac mini loués pour des charges de travail à distance. Huntress a déclaré que certains environnements d'hébergement exposent les services de Partage d'écran sur des machines nouvellement provisionnées, augmentant la surface d'attaque lorsque les systèmes n'ont pas encore reçu les correctifs du 6 août d'Apple.
La faille porte désormais un score CVSS critique de 9,8 selon l'analyse de vulnérabilité de CISA, sans privilèges ni interaction de l'utilisateur requis dans son évaluation actuelle. La base de données nationale sur les vulnérabilités montre que CISA a relevé le score le 14 août après avoir initialement attribué une évaluation de gravité inférieure.
Les pirates ont utilisé des Mac compromis pour miner du Monero
Les cas néerlandais impliquaient de la cryptojacking plutôt qu'un vol signalé d'informations d'identification de portefeuille. Les attaquants ont utilisé les ressources informatiques des Mac compromis pour miner du Monero après avoir obtenu le contrôle root. Le NCSC n'a pas divulgué le logiciel de minage, les adresses de pool, les portefeuilles des attaquants ou les gains en XMR qui en résultent.
Monero est apparu à plusieurs reprises dans des campagnes de cryptojacking car il peut être miné à l'aide de matériel informatique à usage général. Comme crypto.news l'a précédemment rapporté, une enquête de Darktrace a trouvé un logiciel malveillant déployant silencieusement un logiciel de minage de cryptomonnaie après que des attaquants ont eu accès à des systèmes Windows.
Les appareils Apple ont également été confrontés à d'autres campagnes de logiciels malveillants liés aux cryptomonnaies. Dans une couverture connexe, des pirates nord-coréens ont ciblé les utilisateurs de macOS avec des logiciels malveillants visant les entreprises de cryptomonnaies en utilisant de fausses réunions et des mises à jour logicielles malveillantes.
Pendant ce temps, Monero (XMR) se négociait autour de 414 $ au moment de la rédaction, indiquant une augmentation de moins de 1 % au cours des dernières 24 heures et de près de 5 % au cours des 7 derniers jours (selon les données de marché de crypto.news).
Quelle est la suite
La priorité immédiate est de corriger les Mac exécutant des versions vulnérables de Sonoma, Sequoia et Tahoe. Les systèmes exposés directement à Internet via le partage d'écran présentent le risque documenté le plus clair, bien que Huntress recommande de mettre à jour les Mac même lorsque les administrateurs pensent que le service est désactivé.
Le NCSC néerlandais a confirmé l'exploitation mais n'a pas attribué la campagne ni publié d'indicateurs identifiant l'infrastructure de minage de Monero. De nouvelles divulgations de la part des intervenants en cas d'incident pourraient clarifier l'ampleur des attaques avant le correctif d'Apple du 6 août.
