Gli aggressori stanno attivamente sfruttando una falla di autenticazione critica nella Condivisione schermo di macOS, tracciata come CVE-2026-65400, ai danni di sistemi con la porta 5900 direttamente esposta a Internet. Secondo le autorità olandesi, alcune macchine compromesse sono state trasformate in miner di Monero. Apple ha risposto con patch di sicurezza di emergenza che coprono macOS Tahoe, Sequoia e Sonoma.

Una falla di autenticazione critica nella Condivisione schermo di macOS sta lasciando i dispositivi Apple esposti a sfruttamento non autorizzato. La vulnerabilità consente agli aggressori di bypassare l'autenticazione e di ottenere un accesso amministrativo non autorizzato, dirottando l'accesso amministrativo attraverso l'ambiente desktop vulnerabile. Secondo le autorità olandesi, alcuni aggressori hanno utilizzato i sistemi compromessi per distribuire software di mining di Monero, e gli esperti di sicurezza raccomandano di installare immediatamente gli aggiornamenti di emergenza di Apple per evitare il dirottamento delle risorse o seri problemi di prestazioni.

La vulnerabilità critica di macOS consente il mining non autorizzato di Monero

Tracciata come CVE-2026-65400, la falla presenta una gravità CVSS critica di 9,8, che la colloca vicino alla cima della scala a 10 punti utilizzata per classificare le vulnerabilità del software. In particolare, il bug riguarda la gestione dello stato nel sistema di autenticazione del servizio nativo Condivisione schermo, un'implementazione Apple del protocollo di desktop remoto VNC che per convenzione è in ascolto sulla porta TCP 5900.

La Condivisione schermo è disattivata per impostazione predefinita in macOS, quindi la popolazione esposta è costituita dalle macchine in cui utenti o amministratori hanno attivato deliberatamente il servizio e le cui reti lasciano la porta 5900 raggiungibile dalla rete Internet pubblica.

Gli attori delle minacce remote sfruttano questo errore logico inviando pacchetti appositamente predisposti direttamente alle macchine vulnerabili. Di conseguenza, una volta ottenuto l'accesso, gli hacker hanno il pieno controllo amministrativo anche senza conoscere la password di sistema o il nome utente di accesso.

Gli aggressori possono utilizzare l'accesso elevato per distribuire malware, tra cui software di cryptojacking che installa in modo occulto script di mining di Monero. Queste operazioni illecite consumano inoltre risorse hardware mentre vengono eseguite in background come processi di sistema.

La campagna è stata segnalata pubblicamente su X dall'emittente di notizie BSCN, citando le autorità olandesi:

Apple Mac Flaw Lets Hackers Turn Devices Into Monero Miners

Hackers exploited a flaw in Apple’s Screen Sharing feature to take control of internet reachable Macs. The attackers then installed Monero monero:native mining software on compromised devices, Dutch authorities said.… pic.twitter.com/36IjOoiLay

— BSCN (@BSCNews) August 17, 2026

Comprendere lo sfruttamento della porta 5900 e i meccanismi di mining di Monero

L'exploit prende di mira i dispositivi che utilizzano la porta 5900 direttamente esposta alla rete Internet pubblica, e gli strumenti di scansione automatica possono individuare obiettivi accessibili in pochi minuti su un intervallo di rete globale, rendendo le macchine esposte e non aggiornate facilmente individuabili. La superficie di attacco è ben nota ai difensori: i servizi di accesso remoto e desktop remoto esposti a Internet hanno dominato ripetutamente i bollettini annuali delle agenzie governative di cybersicurezza sulle vulnerabilità più sistematicamente sfruttate, e i Mac lasciati raggiungibili sulle porte standard attirano la stessa attenzione opportunistica di qualsiasi altra piattaforma.

I cybercriminali scelgono questa criptovaluta orientata alla privacy in campagne opportunistiche perché comprendono come viene minato Monero. A differenza di Bitcoin, Monero utilizza l'algoritmo proof-of-work RandomX, adatto ai comuni processori desktop. RandomX è inoltre ottimizzato per Apple Silicon e per le moderne architetture CPU x86, il che significa che le macchine Mac possono eseguire il mining e raggiungere elevati hash rate senza bisogno di apparecchiature di mining specializzate.

Inoltre, Monero utilizza firme ad anello e indirizzi stealth per nascondere completamente i dettagli delle transazioni. Di conseguenza, gli attori malintenzionati possono rubare potenza di calcolo rimanendo nascosti ai regolatori finanziari.

Gli aggiornamenti di sicurezza di Apple mitigano il mining non autorizzato di Monero

Apple ha reagito rapidamente e ha rilasciato patch di sicurezza di emergenza per tutte le versioni supportate del sistema operativo. Le patch sono disponibili in macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9 e sono documentate nella pagina ufficiale dei rilasci di sicurezza di Apple.

Gli amministratori di rete dovrebbero controllare i firewall per assicurarsi che la porta 5900 sia chiusa al traffico esterno. In alternativa, disattivare la Condivisione schermo in Impostazioni di sistema disabilita immediatamente qualsiasi potenziale attacco di rete.

L'applicazione degli aggiornamenti chiude la vulnerabilità della Condivisione schermo e contribuisce a impedire che questo percorso di attacco comprometta le reti aziendali. Nel complesso, la distribuzione delle patch protegge importanti risorse hardware dalle campagne di attacco automatizzate. Poiché i miner illeciti vengono eseguiti come processi di sistema in background, le macchine che potrebbero essere state esposte prima dell'aggiornamento possono essere controllate in Activity Monitor per verificare un carico della CPU sostenuto e inspiegato, un risultato coerente con il consumo di risorse descritto dai ricercatori.

La scelta di Monero è intenzionale. La criptovaluta è da tempo un obiettivo del cryptojacking, che consiste nell'eseguire software di mining su computer dirottati, perché il token può essere minato su hardware ordinario anziché su apparecchiature specializzate e per la natura privata delle sue transazioni.