CISA stuft macOS-Screen-Sharing-Schwachstelle nach Monero-Mining-Angriffen auf gemietete Macs als kritisch ein (9,8)
Wichtige Erkenntnisse
- •Die CISA hat die macOS-Screen-Sharing-Schwachstelle CVE-2026-65400 nach Berichten über aktive Ausnutzung von 7,1 auf 9,8 heraufgestuft.
- •Apple veröffentlichte am 6. August Korrekturen in macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9.
- •Forscher erklärten, die Schwachstelle ermögliche Angreifern, die Authentifizierung vor der Passwortprüfung zu umgehen und Root-Zugriff auf exponierten Macs zu erlangen.
- •Das niederländische National Cyber Security Centre teilte mit, dass Angreifer den Standard-Port 5900 von Screen Sharing nutzten und auf kompromittierten Systemen einen Monero-Miner installierten.
- •Huntress meldete, Zehntausende potenziell verwundbare, internetseitig erreichbare Hosts gefunden zu haben, von denen viele mit gemieteten Bare-Metal-Macs in Verbindung stehen.
Die CISA hat den Schweregrad einer macOS-Schwachstelle in Screen Sharing am Freitag auf einen kritischen Wert von 9,8 von 10 heraufgestuft, nachdem niederländische Ermittler meldeten, dass Angreifer die Root-Kontrolle über internetseitig erreichbare Macs übernommen und unbemerkt Monero-Mining-Software installiert hatten.
Von 7,1 auf 9,8 innerhalb einer Woche
Als Apple sein Update auslieferte, listete die CISA die als CVE-2026-65400 verfolgte Schwachstelle in der National Vulnerability Database mit 7,1. Die Behörde hat den Wert inzwischen auf 9,8 angehoben, nahe der Spitze der CVSS-Skala.
Das National Cyber Security Centre (NCSC) der Niederlande ging ähnlich vor. Ein Update vom 12. August zu seiner ursprünglichen Warnung führte aus, dass öffentlich verfügbarer Proof-of-Concept-Code im Umlauf sei und aktiver Missbrauch bestätigt worden sei.
Bis Freitag war die Schwachstelle nicht in den föderalen Katalog bekannter, angegriffener Schwachstellen aufgenommen worden, den die Cybersecurity and Infrastructure Security Agency führt. Apples eigener CVE-Eintrag bei der niederländischen Behörde wies weiterhin die ältere Bewertung von 7,1 auf.
Ein Authentifizierungsfehler vor der Passwortprüfung
Die Schwachstelle liegt darin, wie Screen Sharing die Authentifizierung handhabt. Das Sicherheitsunternehmen Huntress führte sie auf einen Fehler bei der Nutzung von Secure Remote Password zurück, des Protokolls, mit dem die Identität eines Nutzers vor der Zugriffsgewährung überprüft wird.
Nach Angaben von Huntress besteht die praktische Folge darin, dass der Mac den Außenstehenden als bereits angemeldet behandelt. Der Fehler tritt vor jeder Passwortprüfung auf, und das Zurücksetzen oder Löschen von Screen-Sharing-Passwörtern schließt die Tür nicht.
„Jeder, der Apples Screen-Sharing-Funktion auf einer unterstützten macOS-Version nutzt, muss umgehend die neuesten Sicherheitsupdates installieren“, schrieb Huntress-Forscher Ryan Dowd.
Apple lieferte diese Korrektur am 6. August in macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9 aus.
Zehntausende gemietete Macs im Visier
Das NCSC stellte fest, dass die Rechner der Opfer vollständig kompromittiert waren. In allen von den Forschern untersuchten Fällen gelangte der Angreifer über Port 5900, den Standardport von Screen Sharing, der für das Internet offen stand, in das System, eskalierte anschließend zu Root-Rechten und installierte einen Miner der Kryptowährung Monero (XMR). Die niederländische Behörde nannte weder die Zahl der betroffenen Systeme noch einen Verdächtigen.
Screen Sharing ist standardmäßig deaktiviert. Es ist jedoch ein gängiges Werkzeug für die Arbeit mit „Bare-Metal“-Macs – physischer Apple-Hardware, die in Remote-Rechenzentren gemietet und betrieben wird und auf die sich ein Großteil der Exposition konzentriert. Mit dem Internet-Scanning-Werkzeug Censys fand Dowd nach eigenen Angaben „Zehntausende potenziell verwundbarer Hosts“. Viele davon sind laut Huntress Rechner, die stundenweise bei Hosting-Diensten gemietet werden. Für Betreiber solcher Umgebungen geht es über eine einzelne Fehlkonfiguration hinaus: Jeder exponierte Verwaltungsdienst kann einen gemieteten Rechner zu einem leichten Ziel für unbefugten Zugriff und verdeckte Ressourcennutzung machen.
Moneros lange Geschichte mit Cryptojacking
Cryptopolitan berichtete zuvor über die Reaper-Malware, die den Skript-Editor kapert, um Wallets zu leeren, sowie über gefälschte macOS-Beiträge zur Fehlerbehebung, die Opfer dazu verleiten, bösartige Terminal-Befehle einzufügen.
Cryptojacking – das Stehlen von Rechenleistung zur Erzeugung von Coins – ist seit Langem eine Domäne von Monero. Anders als Coins, die spezielle Mining-Rigs erfordern, lässt sich Monero auf normalen CPUs schürfen, und seine Transaktionen sind von Haus aus privat.
Der Ertrag pro gekapertem Mac ist gering. Zum Kurs von Montag werden die rund 432 XMR, die das Monero-Netzwerk täglich prägt und die etwa 179.000 US-Dollar wert sind, auf alle Miner verteilt. XMR notierte am Montag bei 413,47 US-Dollar, rund 0,9 % im Plus über 24 Stunden. Diese begrenzte Auszahlung erklärt mit, warum Angreifer solche Kampagnen eher über viele exponierte Systeme skalieren, statt sich auf einen einzelnen Host zu verlassen.
