CISAは金曜日、macOSの「スクリーン共有」の脆弱性について、深刻度スコアを10点満点中で緊急度の高い9.8に引き上げました。これは、オランダの調査担当者が、攻撃者がインターネットに公開されたMacのroot権限を奪い、Moneroのマイニングソフトウェアを密かにインストールしていたと報告したことを受けたものです。

1週間で7.1から9.8へ

Appleが修正プログラムを提供した時点で、CISAはCVE-2026-65400として追跡されるこの不具合をNational Vulnerability Database（米国の脆弱性データベース）で7.1と評価していました。同機関はその後、これをCVSSスケールの最上位に近い9.8に引き上げました。

オランダのNational Cyber Security Centre（NCSC、国立サイバーセキュリティセンター）も同様の対応を取りました。初回の勧告への8月12日の更新では、公開された概念実証コードが出回っており、能動的な悪用が確認されたと記されています。

金曜日時点で、この欠陥はCybersecurity and Infrastructure Security Agency（CISA）が管理する、攻撃が確認された既知の脆弱性の連邦カタログには追加されていませんでした。オランダの機関におけるApple自身のCVEレコードには、依然として以前の7.1の評価が残っていました。

パスワード確認の前に発生する認証不具合

この脆弱性は、スクリーン共有が認証を処理する方法にあります。セキュリティ企業のHuntressは、その原因を、アクセスを許可する前にユーザーの本人性を確認するために使われるプロトコル「Secure Remote Password」の使用における欠陥と特定しました。

Huntressによれば、実際の影響として、Macは外部の攻撃者をすでにサインイン済みのユーザーとして扱います。この不具合はパスワード検証より前に発生するため、スクリーン共有のパスワードをリセットまたは削除しても扉を閉ざすことにはなりません。

「Appleのスクリーン共有機能をサポート対象のいずれかのmacOSバージョンで利用している人は、直ちに最新のセキュリティアップデートを適用する必要があります」とHuntressの研究者Ryan Dowdは述べています。

Appleは8月6日、macOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9でこの修正を提供しました。

影響範囲にある数万台のレンタルMac

NCSCは、被害に遭ったマシンが完全に侵害されていたことを確認しました。研究者らが調べたすべての事例で、攻撃者はインターネットに公開されたままだったスクリーン共有のデフォルトポートであるポート5900を経由してシステムにアクセスし、その後root権限に昇格して、暗号資産Monero（XMR）のマイナーを展開しました。オランダの機関は、影響を受けたシステムの数を明らかにせず、容疑者も特定していません。

スクリーン共有はデフォルトで無効になっています。しかし、リモートのデータセンター内で借りられて運用されるAppleの物理ハードウェアである「ベアメタル」Macを扱うための標準的なツールであり、露出の多くはこうした環境に集中しています。Dowdは、インターネットスキャンツールのCensysを使い、「数万台の侵害される可能性のあるホスト」を発見したと述べました。Huntressによれば、その多くはホスティングサービスから時間単位で借りられているマシンです。こうした環境の運用者にとって、この問題は単一の設定ミスにとどまりません。公開された管理サービスはいずれも、レンタルマシンを不正アクセスや隠れたリソース利用の格好の標的に変えうるのです。

クリプトジャッキングとMoneroの長い歴史

Cryptopolitanは以前、Script Editorを乗っ取ってウォレットを空にするReaperマルウェアや、被害者に悪意のあるTerminalコマンドを貼り付けさせる偽のmacOSトラブルシューティング投稿について報じました。

クリプトジャッキング——コンピューティングパワーを盗んでコインに変える行為——は、長らくMoneroに結びついてきました。専門的なリグを必要とするコインとは異なり、Moneroは通常のCPUでマイニングでき、その取引は設計上プライベートです。

乗っ取られた1台のMacあたりの利益は小さなものです。月曜日の価格では、Moneroネットワークが1日に発行する約432 XMR（約179,000ドル相当）がすべてのマイナーに分配されます。XMRは月曜日に413.47ドルで取引され、24時間で約0.9%上昇しました。この限られた収益は、攻撃者が単一のホストに頼るのではなく、多くの公開されたシステムにわたってこの種のキャンペーンを拡大しがちである理由の説明にもなります。