Hacker nutzen macOS-Schwachstelle in der Bildschirmfreigabe aus, um Monero-Miner auf exponierten Macs zu installieren
Wichtige Erkenntnisse
- •CVE-2026-65400 ist eine Authentifizierungsumgehung in der macOS-Bildschirmfreigabe mit hohem Schweregrad, bewertet mit 7.1 auf CVSS 3, die netzwerkbasierten Angreifern aufgrund unzureichender Zustandsverwaltung die Authentifizierung ohne gültige Zugangsdaten ermöglicht.
- •Das niederländische NCSC bestätigte die aktive Ausnutzung auf mehreren Macs, bei denen Port 5900 dem Internet ausgesetzt war, wobei jeder gemeldete Fall zu Root-Zugriff und der Installation eines Monero-Kryptowährungs-Miners führte; öffentlicher Proof-of-Concept-Code ist verfügbar.
- •Apple hat die Schwachstelle am 6. August in macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9 behoben, wobei der Fix die Zustandsverwaltung stärkt, sodass die Bildschirmfreigabe nur gültige Zugangsdaten akzeptiert.
- •Nutzer sollten die Updates installieren, die Bildschirmfreigabe deaktivieren, wenn sie nicht benötigt wird, Port 5900 vom öffentlichen Internet fernhalten und zuvor exponierte Systeme auf unbefugten Zugriff sowie Mining-Prozesse mit erhöhten Berechtigungen überprüfen.
- •Die Kampagne reiht sich in eine wachsende Serie von macOS-Kryptowährungsbedrohungen ein, darunter im Juli entdeckte Malware, die Telegram-Sitzungen und Wallet-Daten stahl und Ledger- und Trezor-Apps ersetzte, sowie die über offizielle App-Stores verbreitete SparkKitty-Kampagne.
Angreifer nutzen aktiv eine Authentifizierungsschwachstelle mit hohem Schweregrad im macOS-Bildschirmfreigabe-Dienst von Apple aus, um Root-Zugriff auf internet-exponierte Macs zu erlangen und Monero-Kryptowährungs-Miner zu installieren.
Das Nationale Cyber-Sicherheitszentrum der Niederlande (NCSC) hat eine aktive Ausnutzung auf mehreren Systemen bestätigt, bei denen Port 5900 dem Internet ausgesetzt war. Nutzer betroffener macOS-Versionen werden dringend aufgefordert, Apples Sicherheitsupdates vom August unverzüglich zu installieren und die Bildschirmfreigabe nicht direkt dem öffentlichen Internet auszusetzen.
Authentifizierungsumgehung ohne gültige Zugangsdaten
Die unter CVE-2026-65400 erfasste Schwachstelle betrifft den von der macOS-Bildschirmfreigabe verwendeten Authentifizierungsprozess. Eine unzureichende Zustandsverwaltung ermöglichte es einem netzwerkbasierten Angreifer, sich ohne gültige Zugangsdaten zu authentifizieren, und gewährte einen unbefugten Zugriff, der hätte abgelehnt werden müssen.
Das niederländische NCSC aktualisierte seine Sicherheitsempfehlung am 12. August, nachdem es Berichte über die Ausnutzung auf mehreren Systemen erhalten hatte. Jeder in diesen Berichten identifizierte betroffene Mac hatte Port 5900 aus dem Internet erreichbar, und in jedem Fall erlangten die Angreifer Root-Zugriff und installierten einen Monero-Miner. Die Behörde bestätigte außerdem, dass öffentlicher Proof-of-Concept-Code für die Schwachstelle verfügbar ist. Da Root die höchste Berechtigungsstufe unter macOS ist, bedeuteten die unbefugten Anmeldungen die vollständige Kontrolle über jeden betroffenen Computer, wobei der Miner die in den gemeldeten Vorfällen beobachtete Nutzlast darstellte. Monero, eine auf Privatsphäre ausgerichtete Kryptowährung, deren RandomX-Mining-Algorithmus darauf ausgelegt ist, effizient auf universellen CPUs statt auf spezialisierter ASIC-Hardware zu laufen, war bereits wiederholt die Wahl in illegalen Cryptomining-Kampagnen.
CVE-2026-65400 weist einen CVSS-3-Score von 7.1 auf und fällt damit in die Kategorie mit hohem Schweregrad, nicht jedoch in den kritischen Bereich. Da Apples Bildschirmfreigabe-Konfiguration standardmäßig den TCP-Port 5900 für Standardverbindungen verwendet, werden öffentlich exponierte Systeme zu einem direkten Ziel, sobald der verwundbare Dienst aktiviert ist. Die Bildschirmfreigabe ist Apples Implementierung des VNC-Ferndesktop-Protokolls, und Sicherheitsforscher haben anhaltende internetweite Scans des VNC-Standardports dokumentiert, wodurch jeder offene 5900-Endpunkt für jeden leicht auffindbar wird, der das Internet nach erreichbaren Fernzugriffsdiensten durchsucht.
Apple patcht drei macOS-Versionen
Apple hat die Authentifizierungsschwachstelle der Bildschirmfreigabe am 6. August mit macOS Tahoe 26.6.1 behoben. Dieselbe Korrektur wurde für macOS Sequoia 15.7.9 und macOS Sonoma 14.8.9 veröffentlicht. Der Fix stärkt die Zustandsverwaltung während der Authentifizierung, sodass die Bildschirmfreigabe nur gültige Zugangsdaten akzeptiert.
Macs, die keinen entfernten Bildschirmzugriff benötigen, sollten die Bildschirmfreigabe deaktiviert haben – eine Option, die sich in den Systemeinstellungen unter Allgemein > Freigaben befindet –, während Administratoren, die auf den Dienst angewiesen sind, verhindern sollten, dass Port 5900 direkt aus dem öffentlichen Internet erreichbar ist. Zuvor exponierte Systeme sollten außerdem auf Anzeichen unbefugten Zugriffs und unerwarteter Prozesse überprüft werden, insbesondere auf Kryptowährungs-Mining-Software, die mit erhöhten Berechtigungen läuft.
macOS-Krypto-Malware-Bedrohungen nehmen zu
Die Ausnutzung reiht sich als weitere auf macOS gerichtete Bedrohung in eine wachsende Serie von Angriffen im Zusammenhang mit Kryptowährungs-Infrastruktur ein. Eine separate im Juli aufgedeckte Kampagne nutzte macOS-Malware, um Telegram-Sitzungen, Wallet-Datenbanken und Systemzugangsdaten zu stehlen, bevor sie legitime Ledger- und Trezor-Anwendungen durch bösartige Versionen ersetzte.
Apple-Geräte wurden auch über Software ins Visier genommen, die innerhalb offizieller App-Stores verbreitet wurde. Die SparkKitty-Malware-Kampagne griff auf die Fotomediatheken der Nutzer zu, um nach Wallet-Wiederherstellungsphrasen und anderen sensiblen Informationen zu suchen.
Apple hat inzwischen zum 6. August Fixes für CVE-2026-65400 in macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9 veröffentlicht, während das niederländische NCSC die aktive Ausnutzung ungepatchter, internet-exponierter Systeme weiterhin als bekannt einstuft.
