ハッカーがmacOS画面共有の脆弱性を悪用し、公開されたMacにMoneroマイナーを設置
重要ポイント
- •CVE-2026-65400は、CVSS 3で7.1と評価された高深刻度のmacOS画面共有の認証バイパスであり、状態管理の不備によりネットワーク経由の攻撃者が有効な資格情報なしで認証できる脆弱性です。
- •オランダのNCSCは、ポート5900がインターネットに公開された複数のMacでの活発な悪用を確認しました。報告されたすべてのケースでrootアクセスの取得とMoneroマイナーの展開が発生しており、公開された概念実証（PoC）コードも入手可能です。
- •Appleは8月6日、macOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9でこの脆弱性を修正しました。修正により状態管理が強化され、画面共有は有効な資格情報のみを受け入れるようになります。
- •ユーザーは、アップデートを適用し、不要な場合は画面共有を無効にし、ポート5900を公開インターネットにさらさないようにし、以前に公開されたシステムについては不正アクセスや昇格された権限で実行されるマイニングプロセスがないか確認すべきです。
- •このキャンペーンは、Telegramのセッションとウォレットデータを盗みLedgerおよびTrezorアプリを置き換えた7月のマルウェアや、公式アプリストアを通じて拡散したSparkKittyキャンペーンなど、拡大を続けるmacOSの暗号通貨関連脅威に新たに加わるものです。
攻撃者は、AppleのmacOS画面共有サービスにおける深刻度の高い認証の欠陥を積極的に悪用しており、これを利用してインターネットに公開されたMacへのrootアクセスを獲得し、Moneroのクリプトマイナーをインストールしています。
オランダの国家サイバーセキュリティセンター（NCSC）は、ポート5900がインターネットに公開されていた複数のシステムで活発な悪用が行われていることを確認しました。影響を受けるmacOSバージョンを実行しているユーザーには、Appleの8月のセキュリティアップデートを直ちにインストールし、画面共有を直接公開インターネットにさらさないことが強く求められています。
有効な資格情報なしでの認証バイパス
CVE-2026-65400として追跡されるこの脆弱性は、macOS画面共有が使用する認証プロセスに影響を及ぼします。状態管理の不備により、ネットワーク経由の攻撃者が有効な資格情報なしで認証でき、本来拒否されるべき不正アクセスが許可されてしまいました。
オランダのNCSCは、複数のシステムにわたる悪用の報告を受け、8月12日にアドバイザリを更新しました。これらの報告で特定されたすべての被侵害Macはポート5900がインターネットから到達可能な状態にあり、いずれのケースでも攻撃者はrootアクセスを取得し、Moneroマイナーを展開していました。同機関は、この脆弱性の公開された概念実証（PoC）コードが入手可能であることも確認しました。rootはmacOSにおける最高権限レベルであるため、この不正ログインは侵害された各マシンの完全な制御に相当し、報告されたインシデントで観測されたペイロードとしてマイナーが機能していました。プライバシー重視の暗号通貨であるMoneroは、そのRandomXマイニングアルゴリズムが特殊なASICハードウェアではなく汎用CPUで効率的に動作するよう設計されているため、違法なクリプトマイニングキャンペーンで繰り返し選択されてきました。
CVE-2026-65400のCVSS 3スコアは7.1で、クリティカル（最重大）レンジではなく高深刻度（High）カテゴリに分類されます。Appleの画面共有の構成では標準接続にデフォルトでTCPポート5900が使用されるため、脆弱なサービスが有効になっている限り、公開されたシステムは直接の標的となります。画面共有はAppleによるVNCリモートデスクトッププロトコルの実装であり、セキュリティ研究者はVNCのデフォルトポートへのインターネット全体を対象とした継続的なスキャンを記録しており、これにより開放された5900ポートのエンドポイントは、到達可能なリモートアクセスサービスを探してインターネットを調査する者にとって容易に発見できる状態にあります。
Apple、3つのmacOSバージョンを修正
Appleは8月6日、macOS Tahoe 26.6.1で画面共有の認証の欠陥を修正しました。同じ修正は、macOS Sequoia 15.7.9およびmacOS Sonoma 14.8.9でもリリースされました。この修正により認証時の状態管理が強化され、画面共有は有効な資格情報のみを受け入れるようになります。
リモートでの画面アクセスを必要としないMacでは、画面共有を無効にすべきです。この設定は、システム設定の「一般」>「共有」にあるトグルで切り替えられます。また、このサービスに依存する管理者は、ポート5900が公開インターネットから直接到達できないようにする必要があります。以前に公開されていたシステムは、不正アクセスの痕跡や予期しないプロセス、特に昇格された権限で実行されているクリプトマイニングソフトウェアについても確認すべきです。
macOSのクリプトマルウェアの脅威が拡大
この悪用により、暗号通貨インフラに関わる攻撃が増加する中、macOSを標的とした脅威がさらに1つ加わりました。7月に発覚した別のキャンペーンでは、macOSマルウェアを使用してTelegramのセッション、ウォレットのデータベース、システムの資格情報を盗み、その後、正当なLedgerおよびTrezorアプリケーションを悪意のあるバージョンに置き換えていました。
Apple端末は、公式アプリストア内で配布されたソフトウェアを通じても標的とされてきました。SparkKittyマルウェアキャンペーンは、ウォレットのリカバリーフレーズやその他の機密情報を探して、ユーザーのフォトライブラリにアクセスしていました。
Appleは現在、8月6日時点でmacOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9においてCVE-2026-65400の修正をリリースしており、オランダのNCSCは、未修正でインターネットに公開されたシステムへの活発な悪用を既知として分類し続けています。
