Gli attaccanti stanno sfruttando attivamente una falla di autenticazione ad alta gravità nel servizio Condivisione schermo di macOS di Apple, utilizzandola per ottenere accesso root sui Mac esposti a Internet e installare miner di criptovaluta Monero.

Il Centro Nazionale per la Sicurezza Informatica dei Paesi Bassi (NCSC) ha confermato lo sfruttamento attivo su più sistemi che avevano la porta 5900 esposta a Internet. Agli utenti che eseguono versioni di macOS interessate viene raccomandato di installare immediatamente gli aggiornamenti di sicurezza di agosto di Apple e di evitare di esporre la Condivisione schermo direttamente alla rete Internet pubblica.

Bypass dell'autenticazione senza credenziali valide

Tracciata come CVE-2026-65400, la vulnerabilità riguarda il processo di autenticazione utilizzato dalla Condivisione schermo di macOS. Una gestione insufficiente dello stato ha permesso a un attaccante remoto di autenticarsi senza credenziali valide, garantendo un accesso non autorizzato che avrebbe dovuto essere rifiutato.

L'NCSC olandese ha aggiornato il proprio avviso il 12 agosto, dopo aver ricevuto segnalazioni di sfruttamento su più sistemi. Ogni Mac interessato identificato in quelle segnalazioni aveva la porta 5900 raggiungibile da Internet e, in ciascun caso, gli attaccanti hanno ottenuto accesso root e distribuito un miner di Monero. L'agenzia ha inoltre confermato che è disponibile pubblicamente codice proof-of-concept per la falla. Poiché root è il livello di privilegio più alto su macOS, gli accessi non autorizzati equivalevano al controllo completo di ogni macchina colpita, con il miner come payload osservato negli incidenti segnalati. Monero, una criptovaluta orientata alla privacy il cui algoritmo di mining RandomX è progettato per funzionare in modo efficiente su CPU di uso generale anziché su hardware ASIC specializzato, è stata una scelta ricorrente nelle campagne di criptomining illecito.

CVE-2026-65400 ha un punteggio CVSS 3 di 7,1, che la colloca nella categoria ad alta gravità anziché in quella critica. Poiché la configurazione della Condivisione schermo di Apple utilizza per impostazione predefinita la porta TCP 5900 per le connessioni standard, i sistemi esposti pubblicamente diventano un bersaglio diretto ogni volta che il servizio vulnerabile è attivo. La Condivisione schermo è l'implementazione Apple del protocollo di desktop remoto VNC e i ricercatori di sicurezza hanno documentato una scansione costante su tutta Internet della porta predefinita di VNC, il che rende qualsiasi endpoint 5900 aperto facilmente individuabile da chiunque esamini Internet in cerca di servizi di accesso remoto raggiungibili.

Apple corregge tre versioni di macOS

Il 6 agosto Apple ha corretto la falla di autenticazione della Condivisione schermo con macOS Tahoe 26.6.1. La stessa correzione è stata rilasciata per macOS Sequoia 15.7.9 e macOS Sonoma 14.8.9. La correzione rafforza la gestione dello stato durante l'autenticazione, in modo che la Condivisione schermo accetti solo credenziali valide.

Sui Mac che non richiedono l'accesso remoto allo schermo la Condivisione schermo dovrebbe essere disattivata, tramite l'interruttore presente in Impostazioni di Sistema sotto Generali > Condivisione, mentre gli amministratori che si affidano al servizio dovrebbero impedire che la porta 5900 sia direttamente raggiungibile dalla rete Internet pubblica. I sistemi precedentemente esposti dovrebbero inoltre essere controllati per individuare segni di accesso non autorizzato e processi inaspettati, in particolare software di mining di criptovalute in esecuzione con privilegi elevati.

Le minacce di malware crittografico su macOS si ampliano

Questo sfruttamento aggiunge un'altra minaccia mirata a macOS a una serie crescente di attacchi che coinvolgono infrastrutture per criptovalute. Una campagna separata scoperta a luglio utilizzava malware per macOS per rubare sessioni di Telegram, database di wallet e credenziali di sistema, per poi sostituire le applicazioni legittime di Ledger e Trezor con versioni dannose.

Anche i dispositivi Apple sono stati presi di mira tramite software distribuito all'interno di store di applicazioni ufficiali. La campagna di malware SparkKitty accedeva alla libreria foto degli utenti in cerca di frasi di recupero dei wallet e di altre informazioni sensibili.

Apple ha ormai rilasciato le correzioni per CVE-2026-65400 in macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9 a partire dal 6 agosto, mentre l'NCSC olandese continua a classificare come noto lo sfruttamento attivo dei sistemi non patchati ed esposti a Internet.