Angreifer nutzen aktiv eine kritische Authentifizierungsschwachstelle in der macOS-Bildschirmfreigabe aus, die als CVE-2026-65400 erfasst ist und sich gegen Systeme richtet, deren Port 5900 direkt dem Internet ausgesetzt ist. Laut niederländischen Behörden wurden einige kompromittierte Rechner in Monero-Miner umgewandelt. Apple hat mit Notfall-Sicherheitspatches für macOS Tahoe, Sequoia und Sonoma reagiert.

Eine kritische Authentifizierungsschwachstelle in der macOS-Bildschirmfreigabe setzt Apple-Geräte einer unbefugten Ausnutzung aus. Die Schwachstelle ermöglicht es Angreifern, die Authentifizierung zu umgehen und durch die Übernahme administrativer Zugriffsrechte über die angreifbare Desktop-Umgebung unbefugten Administratorzugriff zu erlangen. Nach Angaben niederländischer Behörden haben einige Angreifer kompromittierte Systeme genutzt, um Monero-Mining-Software zu installieren; Sicherheitsexperten empfehlen, Apples Notfallupdates sofort zu installieren, um Ressourcenmissbrauch oder schwerwiegende Leistungsprobleme zu vermeiden.

Kritische macOS-Schwachstelle ermöglicht unbefugtes Monero-Mining

Die als CVE-2026-65400 erfasste Schwachstelle weist einen kritischen CVSS-Schweregrad von 9,8 auf und liegt damit nahe der Spitze der 10-Punkte-Skala zur Bewertung von Software-Schwachstellen. Konkret betrifft der Fehler das Zustandsmanagement im Authentifizierungssystem des nativen Bildschirmfreigabe-Dienstes, einer Apple-Implementierung des VNC-Remotedesktop-Protokolls, das üblicherweise auf dem TCP-Port 5900 lauscht.

Die Bildschirmfreigabe ist unter macOS standardmäßig deaktiviert. Zu den exponierten Systemen gehören daher solche, bei denen Benutzer oder Administratoren den Dienst bewusst aktiviert haben und deren Netzwerke den Port 5900 vom offenen Internet aus erreichbar lassen.

Entfernte Bedrohungsakteure nutzen diesen Logikfehler aus, indem sie manipulierte Pakete direkt an angreifbare Rechner senden. Sobald sie Zugriff erlangt haben, verfügen die Angreifer über volle administrative Kontrolle – selbst wenn ihnen das Systemkennwort oder der Anmeldebenutzername nicht bekannt ist.

Angreifer können die erhöhten Rechte nutzen, um Schadsoftware zu installieren, darunter Cryptojacking-Software, die heimliche Monero-Mining-Skripte einrichtet. Diese Schadroutinen verbrauchen zudem Hardwareressourcen, während sie im Hintergrund als Systemprozesse laufen.

Die Kampagne wurde öffentlich auf X vom Nachrichtenportal BSCN gemeldet, das sich auf niederländische Behörden berief:

Apple Mac Flaw Lets Hackers Turn Devices Into Monero Miners

Hackers exploited a flaw in Apple’s Screen Sharing feature to take control of internet reachable Macs. The attackers then installed Monero monero:native mining software on compromised devices, Dutch authorities said.… pic.twitter.com/36IjOoiLay

— BSCN (@BSCNews) August 17, 2026

Wie Port 5900 ausgenutzt wird und das Monero-Mining funktioniert

Der Exploit richtet sich gegen Geräte mit Port 5900, die direkt dem offenen Internet ausgesetzt sind; automatisierte Scan-Tools können erreichbare Ziele innerhalb von Minuten in einem globalen Netzwerkbereich ausfindig machen, wodurch exponierte, ungepatchte Rechner leicht auffindbar sind. Diese Angriffsfläche ist für Verteidiger vertraut: Internetseitig erreichbare Remote-Zugriffs- und Remotedesktop-Dienste dominieren seit Jahren die jährlichen Warnungen staatlicher Cybersicherheitsbehörden zu den am häufigsten ausgenutzten Schwachstellen, und Macs, die auf Standardports erreichbar sind, ziehen dieselbe opportunistische Aufmerksamkeit auf sich wie jede andere Plattform.

Cyberkriminelle entscheiden sich bei opportunistischen Kampagnen für diese auf Privatsphäre ausgerichtete Kryptowährung, weil sie wissen, wie Monero gemined wird. Anders als Bitcoin verwendet Monero den Proof-of-Work-Algorithmus RandomX, der für handelsübliche Desktop-CPUs geeignet ist. RandomX ist zudem für Apple Silicon und moderne x86-CPU-Architekturen optimiert, sodass Mac-Hardware hohe Hash-Raten erzielen kann, ohne dass spezielle Mining-Rigs erforderlich sind.

Darüber hinaus nutzt Monero Ringsignaturen und Stealth-Adressen, um Transaktionsdetails vollständig zu verbergen. Dadurch können Angreifer Rechenleistung stehlen und sich zugleich vor Finanzregulierern verbergen.

Apples Sicherheitsupdates entschärfen unbefugtes Monero-Mining

Apple reagierte rasch und veröffentlichte Notfall-Sicherheitspatches für alle unterstützten Betriebssystemversionen. Die Patches sind in macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9 verfügbar und auf Apples offizieller Seite zu Sicherheitsupdates dokumentiert.

Netzwerkadministratoren sollten Firewalls prüfen, um sicherzustellen, dass Port 5900 für externen Datenverkehr geschlossen ist. Alternativ lässt sich ein möglicher Netzwerkangriff sofort unterbinden, indem die Bildschirmfreigabe in den Systemeinstellungen deaktiviert wird.

Die Installation der Updates schließt die Schwachstelle in der Bildschirmfreigabe und hilft zu verhindern, dass dieser Angriffspfad Firmennetzwerke kompromittiert. Insgesamt bewahrt das Einspielen der Patches wichtige Hardwareressourcen vor automatisierten Angriffskampagnen. Da die Schadroutinen als Hintergrund-Systemprozesse laufen, können Rechner, die vor dem Patchen exponiert gewesen sein könnten, im Aktivitätsmonitor auf anhaltende, unerklärliche CPU-Last geprüft werden – ein Befund, der mit dem von Forschern beschriebenen Ressourcenverbrauch übereinstimmt.

Moneros Auswahl ist beabsichtigt. Die Kryptowährung ist seit langem Ziel von Cryptojacking – dem Ausführen von Mining-Software auf entführten Computern –, da der Token auf normaler Hardware statt auf spezialisierten Rigs gemined werden kann und die Transaktionen privat sind.