La CISA ha innalzato venerdì il punteggio di gravità di una vulnerabilità di Screen Sharing per macOS a un livello critico di 9.8 su 10, dopo che gli investigatori olandesi hanno riferito di attaccanti che hanno ottenuto il controllo root di Mac esposti a Internet e hanno caricato di nascosto software per il mining di Monero.

Da 7.1 a 9.8 in una settimana

Quando Apple ha rilasciato la correzione, la CISA aveva inserito il bug, tracciato come CVE-2026-65400, con un punteggio di 7.1 nel National Vulnerability Database. L'agenzia lo ha in seguito innalzato a 9.8, vicino alla sommità della scala CVSS.

Il National Cyber Security Centre (NCSC) dei Paesi Bassi ha seguito un percorso simile. Un aggiornamento del 12 agosto all'advisory iniziale ha indicato che circolava codice proof-of-concept pubblico e che lo sfruttamento attivo era stato confermato.

Alla data di venerdì, la falla non era ancora stata inserita nel catalogo federale delle vulnerabilità note oggetto di attacco gestito dalla Cybersecurity and Infrastructure Security Agency. Il record CVE di Apple presso l'agenzia olandese riportava ancora la vecchia valutazione di 7.1.

Un errore di autenticazione prima della verifica della password

La vulnerabilità risiede nel modo in cui Screen Sharing gestisce l'autenticazione. La società di sicurezza Huntress l'ha ricondotta a un difetto nell'uso di Secure Remote Password da parte del servizio, il protocollo utilizzato per verificare l'identità di un utente prima di concedere l'accesso.

Secondo Huntress, l'effetto pratico è che il Mac considera l'intruso come già autenticato. Il malfunzionamento si verifica prima di qualsiasi verifica della password e il ripristino o l'eliminazione delle password di Screen Sharing non chiude la porta.

«Chiunque utilizzi la funzionalità Screen Sharing di Apple su qualsiasi versione supportata di macOS deve applicare immediatamente gli aggiornamenti di sicurezza più recenti», ha scritto il ricercatore di Huntress Ryan Dowd.

Apple ha rilasciato tale correzione il 6 agosto in macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9.

Decine di migliaia di Mac noleggiati a rischio

L'NCSC ha riscontrato che le macchine vittime erano completamente compromesse. In ciascun caso esaminato dai ricercatori, l'attaccante ha avuto accesso al sistema tramite la porta 5900, la porta predefinita di Screen Sharing rimasta esposta a Internet, ha poi elevato i privilegi a root e ha distribuito un miner della criptovaluta Monero (XMR). L'agenzia olandese non ha fornito il numero di sistemi interessati né ha indicato un sospettato.

Screen Sharing è disattivato per impostazione predefinita. È tuttavia uno strumento standard per lavorare con i Mac «bare-metal», hardware Apple fisico noleggiato e gestito in data center remoti, dove si concentra gran parte dell'esposizione. Utilizzando lo strumento di scansione di Internet Censys, Dowd ha dichiarato di aver trovato «decine di migliaia di host potenzialmente vulnerabili». Molti, secondo Huntress, sono macchine noleggiate a ore presso servizi di hosting. Per gli operatori di questi ambienti, il problema va oltre una singola errata configurazione: qualsiasi servizio di gestione esposto può trasformare una macchina noleggiata in un bersaglio facile per accessi non autorizzati e uso occulto delle risorse.

La lunga storia di Monero con il cryptojacking

Cryptopolitan aveva in precedenza riportato del malware Reaper che dirotta Script Editor per svuotare i wallet, e dei falsi post di assistenza tecnica per macOS che spingono le vittime a incollare comandi dannosi nel Terminale.

Il cryptojacking, il furto di potenza di calcolo da trasformare in monete, è da tempo un'attività legata a Monero. A differenza delle monete che richiedono impianti specializzati, Monero può essere estratto su normali CPU e le sue transazioni sono private per progettazione.

Il rendimento per singolo Mac dirottato è esiguo. Al prezzo di lunedì, i circa 432 XMR coniati ogni giorno dalla rete Monero, valutati circa 179.000 dollari, vengono distribuiti tra tutti i miner. Lunedì XMR era scambiato a 413,47 dollari, in aumento di circa lo 0,9% nelle 24 ore. Questo payout limitato aiuta a spiegare perché gli attaccanti tendano a estendere tali campagne su molti sistemi esposti invece di fare affidamento su un singolo host.