攻擊者正積極利用一個被追蹤為 CVE-2026-65400 的 macOS Screen Sharing 嚴重驗證漏洞，針對 5900 埠直接暴露於網際網路的系統發動攻擊。根據荷蘭當局的說法，部分遭入侵的機器已被轉為 Monero 挖礦機。Apple 已針對 macOS Tahoe、Sequoia 與 Sonoma 發布緊急安全修補。

macOS Screen Sharing 中的一個嚴重驗證漏洞，正使 Apple 裝置暴露於未經授權的利用。該漏洞可讓攻擊者繞過驗證，並透過劫持脆弱桌面環境中的管理存取來取得未授權的管理員權限。荷蘭當局表示，部分攻擊者已利用遭入侵系統部署 Monero 挖礦軟體，而安全專家建議立即安裝 Apple 的緊急更新，以避免資源遭劫持或出現嚴重效能問題。

重大 macOS 漏洞可導致未經授權的 Monero 挖礦

此漏洞被追蹤為 CVE-2026-65400，CVSS 嚴重性評分為 9.8，屬於極高風險。具體而言，這個問題與原生 Screen Sharing 服務驗證系統中的狀態管理有關。

遠端威脅行為者透過向受影響機器直接傳送經特殊構造的封包來利用這個邏輯錯誤。因此，一旦取得存取權，駭客即使不知道系統密碼或登入使用者名稱，也能完全控制管理權限。

攻擊者可利用這些提升後的權限部署惡意程式，包括安裝隱蔽 Monero 挖礦腳本的加密劫持軟體。這些惡意操作也會在背景作為系統程序執行並消耗硬體資源。

這起活動已由新聞機構 BSCN 在 X 上公開指出，並引述荷蘭當局的說法：

Apple Mac Flaw Lets Hackers Turn Devices Into Monero Miners

Hackers exploited a flaw in Apple’s Screen Sharing feature to take control of internet reachable Macs. The attackers then installed Monero monero:native mining software on compromised devices, Dutch authorities said.… pic.twitter.com/36IjOoiLay

— BSCN (@BSCNews) August 17, 2026

理解 5900 埠利用方式與 Monero 挖礦機制

此漏洞鎖定的是直接暴露在開放網際網路上的 5900 埠裝置，而自動掃描工具可在全球網路範圍內於數分鐘內偵測到可存取目標，使暴露且未修補的機器容易被發現。對防禦者而言，這類攻擊面並不陌生：面向網際網路的遠端存取與遠端桌面服務，長期以來都在政府資安機構每年列出的最常遭利用漏洞中名列前茅，而暴露在標準埠上的 Mac 也會受到同樣的機會型攻擊。

網路犯罪者在這類機會型行動中選擇這種重視隱私的加密貨幣，是因為他們了解 Monero 的挖礦方式。與 Bitcoin 不同，Monero 使用名為 RandomX 的工作量證明演算法，適合一般桌上型 CPU。RandomX 也針對 Apple Silicon 與現代 x86 CPU 架構進行最佳化，這意味著 Mac 裝置無需特殊挖礦設備也能進行挖礦並提供高雜湊率。

此外，Monero 使用環簽名與隱匿地址，將交易細節完全隱藏。因此，惡意行為者可在不被金融監管機構察覺的情況下竊取運算能力。

Apple 安全更新可降低未經授權的 Monero 挖礦風險

Apple 已迅速回應，並針對所有支援的作業系統版本發布緊急安全修補。具體來說，修補可用於 macOS Tahoe 26.6.1、Sequoia 15.7.9 與 Sonoma 14.8.9。

網路管理員應檢查防火牆，確保 5900 埠未對外部流量開放。或者，也可以在系統設定中關閉 Screen Sharing，以立即停用任何潛在的網路攻擊。

套用更新可關閉 Screen Sharing 漏洞，並有助於防止這條攻擊路徑危及企業網路。整體而言，部署修補可避免重要硬體資源遭自動化攻擊活動耗盡。

Monero 之所以被選為目標是有意為之。Monero 長期以來一直是加密劫持的目標，這類手法會在遭劫持的電腦上執行挖礦軟體，原因在於該代幣可在一般硬體上挖掘，而無需專用設備，且其交易具備隱私特性。