CISA a relevé vendredi à un niveau critique de 9,8 sur 10 la note de gravité d’une vulnérabilité de Screen Sharing sur macOS, après que des enquêteurs néerlandais ont signalé des attaquants obtenant un contrôle root de Mac exposés sur Internet et y chargeant discrètement un logiciel de minage Monero.

De 7,1 à 9,8 en une semaine

Lorsque Apple a publié son correctif, CISA a classé la faille, suivie sous le nom CVE-2026-65400, à 7,1 dans le National Vulnerability Database. L’agence l’a depuis portée à 9,8, près du sommet de l’échelle CVSS.

Le National Cyber Security Centre (NCSC) des Pays-Bas a adopté une démarche similaire. Une mise à jour du 12 août de son avis initial indiquait qu’un code de preuve de concept public circulait et qu’une exploitation active avait été confirmée.

À la date de vendredi, la faille n’avait pas été ajoutée au catalogue fédéral des vulnérabilités connues et attaquées tenu par la Cybersecurity and Infrastructure Security Agency. L’enregistrement CVE d’Apple auprès de l’agence néerlandaise affichait toujours l’ancienne note de 7,1.

Une défaillance d’authentification avant la vérification du mot de passe

La vulnérabilité tient à la manière dont Screen Sharing gère l’authentification. La société de sécurité Huntress l’a reliée à une faille dans l’utilisation de Secure Remote Password par le service, le protocole servant à vérifier l’identité d’un utilisateur avant d’autoriser l’accès.

Selon Huntress, l’effet pratique est que le Mac considère l’intrus comme déjà connecté. L’échec se produit avant toute vérification du mot de passe, et la réinitialisation ou la suppression des mots de passe Screen Sharing ne ferme pas la porte.

« Toute personne qui utilise la fonctionnalité Screen Sharing d’Apple sur une version prise en charge de macOS doit appliquer immédiatement les dernières mises à jour de sécurité », a écrit le chercheur de Huntress Ryan Dowd.

Apple a livré ce correctif le 6 août dans macOS Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9.

Des dizaines de milliers de Mac loués à portée

Le NCSC a constaté que les machines victimes étaient totalement compromises. Dans chaque cas examiné par les chercheurs, l’attaquant a accédé au système via le port 5900, le port Screen Sharing par défaut resté exposé à Internet, puis a élevé ses privilèges au niveau root et déployé un mineur de cryptomonnaie Monero (XMR). L’agence néerlandaise n’a pas donné le nombre de systèmes touchés et n’a nommé aucun suspect.

Screen Sharing est désactivé par défaut. Il s’agit toutefois d’un outil standard pour travailler avec des Mac « bare-metal », c’est-à-dire du matériel Apple physique loué et exploité dans des centres de données distants, où se concentre une grande partie de l’exposition. À l’aide de l’outil de scan Internet Censys, Dowd a déclaré avoir trouvé « des dizaines de milliers d’hôtes potentiellement vulnérables ». Beaucoup, selon Huntress, sont des machines louées à l’heure auprès de fournisseurs d’hébergement. Pour les opérateurs de ces environnements, le problème dépasse une simple erreur de configuration : tout service d’administration exposé peut transformer une machine louée en cible facile pour un accès non autorisé et une utilisation cachée des ressources.

La longue histoire de Monero avec le cryptojacking

Cryptopolitan avait déjà rapporté l’existence du malware Reaper qui détourne Script Editor pour vider des portefeuilles, ainsi que des fausses publications de dépannage macOS incitant les victimes à coller des commandes Terminal malveillantes.

Le cryptojacking — le vol de puissance de calcul pour la convertir en monnaie — est depuis longtemps une activité liée à Monero. Contrairement aux monnaies nécessitant du matériel spécialisé, Monero peut être miné sur des CPU ordinaires, et ses transactions sont privées par conception.

Le rendement par Mac détourné est faible. Au cours de lundi, la valeur d’environ 432 XMR frappés chaque jour par le réseau Monero, soit environ 179 000 $, est répartie entre tous les mineurs. XMR s’échangeait à 413,47 $ lundi, en hausse d’environ 0,9 % sur 24 heures. Cette faible rémunération aide à expliquer pourquoi les attaquants ont tendance à étendre ce type de campagne à de nombreux systèmes exposés plutôt que de compter sur un seul hôte.