A Apple corrigiu uma vulnerabilidade crítica no Compartilhamento de Tela do macOS depois que invasores exploraram Macs expostos à internet para obter acesso root e instalar software de mineração de Monero, de acordo com um aviso atualizado do Centro Nacional de Cibersegurança dos Países Baixos.
Resumo
- A Apple corrigiu a CVE-2026-65400 depois que invasores exploraram serviços de Compartilhamento de Tela do Mac para instalar mineradores de Monero remotamente.
- Autoridades de segurança cibernética holandesas confirmaram que Macs comprometidos tiveram acesso root e software de mineração de Monero não autorizado instalado.
- A CISA agora classifica a falha de autenticação como crítica 9.8, acima da avaliação geral anterior de 7.1.
- A Huntress encontrou dezenas de milhares de Macs potencialmente expostos, especialmente sistemas Apple bare-metal hospedados na internet em todo o mundo.
- Alterar senhas do Compartilhamento de Tela não corrige a falha; Macs afetados exigem atualizações de segurança da Apple imediatamente.
O NCSC holandês atualizou seu aviso em 12 de agosto para confirmar a exploração ativa da CVE-2026-65400 em vários sistemas com a porta 5900 exposta à internet. Em todos os casos relatados, os invasores obtiveram acesso root e instalaram um minerador de Monero. A agência não divulgou quantos Macs foram comprometidos nem identificou os invasores.
Falha no Compartilhamento de Tela da Apple contorna a autenticação
A Apple corrigiu a CVE-2026-65400 em 6 de agosto no macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. A empresa descreveu a falha como um problema de autenticação causado por gerenciamento de estado inadequado que poderia permitir que um invasor na rede acessasse o Compartilhamento de Tela sem credenciais válidas.
A empresa de segurança Huntress descobriu que a falha afeta o processo de autenticação Secure Remote Password usado pelo Compartilhamento de Tela do macOS. Sua análise mostrou que um invasor poderia fazer o serviço tratar uma conexão não autenticada como autenticada e obter acesso privilegiado.
Como a exploração ocorre antes da autenticação normal, a Huntress disse que alterar a senha do Compartilhamento de Tela, desabilitar a autenticação VNC legada ou remover contas de usuário autorizadas não resolve a vulnerabilidade. A correção recomendada é instalar a atualização de segurança mais recente da Apple ou desabilitar o Compartilhamento de Tela até que o sistema possa ser corrigido.
Dezenas de milhares de Macs podem ter sido expostos
O pesquisador da Huntress, Ryan Dowd, disse que uma busca no Censys identificou "dezenas de milhares de hosts potencialmente vulneráveis". Essa estimativa abrange Macs que pareciam expostos à internet e não deve ser interpretada como dezenas de milhares de comprometimentos confirmados.
O risco é particularmente relevante para Macs bare-metal hospedados, incluindo Mac minis alugados para cargas de trabalho remotas. A Huntress disse que alguns ambientes de hospedagem expõem serviços de Compartilhamento de Tela em máquinas recém-provisionadas, aumentando a superfície de ataque quando os sistemas ainda não receberam os patches de 6 de agosto da Apple.
A falha agora tem uma pontuação CVSS crítica de 9.8 da análise de vulnerabilidade da CISA, sem privilégios ou interação do usuário necessários em sua avaliação atual. O National Vulnerability Database mostra que a CISA elevou a pontuação em 14 de agosto depois de inicialmente atribuir uma avaliação de gravidade menor.
Hackers usaram Macs comprometidos para minerar Monero
Os casos holandeses envolveram criptojacking, em vez de roubo relatado de credenciais de carteira. Os invasores usaram os recursos de computação dos Macs comprometidos para minerar Monero após obter controle root. O NCSC não divulgou o software de mineração, endereços de pool, carteiras dos invasores ou os XMR resultantes.
O Monero apareceu repetidamente em campanhas de criptojacking porque pode ser minerado usando hardware de computação de propósito geral. Como o crypto.news relatou anteriormente, uma investigação da Darktrace encontrou malware implantando silenciosamente software de mineração de criptomoedas depois que invasores obtiveram acesso a sistemas Windows.
Dispositivos Apple também enfrentaram outras campanhas de malware relacionadas a criptomoedas. Em cobertura relacionada, hackers norte-coreanos miraram usuários de macOS com malware voltado para empresas de criptomoedas usando reuniões falsas e atualizações de software maliciosas.
Enquanto isso, Monero (XMR) era negociado em torno de US$ 414 no momento da publicação, indicando um aumento de menos de 1% nas últimas 24 horas e quase 5% nos últimos 7 dias (de acordo com dados de mercado do crypto.news)
O que acontece a seguir
A prioridade imediata é corrigir Macs que executam versões vulneráveis do Sonoma, Sequoia e Tahoe. Sistemas expostos diretamente à internet por meio do Compartilhamento de Tela enfrentam o risco documentado mais claro, embora a Huntress recomende atualizar Macs mesmo quando os administradores acreditam que o serviço está desativado.
O NCSC holandês confirmou a exploração, mas não atribuiu a campanha nem publicou indicadores identificando a infraestrutura de mineração de Monero. Divulgações adicionais de respondedores a incidentes podem esclarecer o quão generalizados os ataques se tornaram antes da correção da Apple em 6 de agosto.
