macOS: Aktive Ausnutzung von Screen Sharing – Monero-Miner auf exponierten Systemen installiert

Die Schwachstelle ermöglicht die Umgehung der Authentifizierung

Das niederländische National Cyber Security Centre (NCSC) hat die aktive Ausnutzung von CVE-2026-65400 gemeldet. Betroffen ist macOS Screen Sharing, die integrierte Funktion zur Fernsteuerung des Desktops.

Die Meldung wurde am 14. August 2026 veröffentlicht, nachdem öffentlich verfügbarer Exploit-Code die Angriffe offenbar erleichtert hatte. Die Schwachstelle betrifft die Verwaltung des Authentifizierungsstatus: Ein Angreifer im Netzwerk kann sich ohne gültige Zugangsdaten am Dienst anmelden.

Screen Sharing basiert auf dem VNC-Protokoll und verwendet normalerweise den Port TCP/5900. Ist dieser Port direkt aus dem Internet erreichbar, wird der Dienst zu einem entfernten Einstiegspunkt für jeden, der einen verwundbaren Host identifizieren kann.

Die Schwachstelle ist unter CWE-287 klassifiziert, das eine unsachgemäße Authentifizierung beschreibt. Die vollständige Kennung lautet CVE-2026-65400.

Angriffe führten zu Root-Rechten

Das NCSC beobachtete Angriffe auf mehrere macOS-Systeme, deren Port 5900 öffentlich erreichbar war. In allen der Behörde gemeldeten Fällen erlangten die Angreifer Root-Zugriff und installierten einen Miner für die Kryptowährung Monero.

Cryptomining verbraucht Prozessorleistung, Arbeitsspeicher und Energie, verlangsamt das Gerät und kann die Betriebskosten erhöhen. Das Problem beschränkt sich jedoch nicht auf die Leistung: Root-Zugriff ermöglicht es, Dateien, Anwendungen und Sicherheitseinstellungen mit den höchsten lokalen Berechtigungen zu verändern.

Der Fernzugriff kann außerdem Folgendes ermöglichen:

• Anwendungen zu öffnen und zu nutzen;
• auf dem Mac gespeicherte Dateien zu lesen;
• Sicherheitseinstellungen zu ändern;
• weitere Komponenten zu installieren;
• Systemprozesse und -dienste zu verändern.

Es ist nicht bekannt, ob die Kampagne noch andauert, wie viele Geräte kompromittiert wurden oder ob die Angreifer andere Ziele als Cryptomining verfolgten. Die verfügbaren Informationen bestätigen außerdem nicht, dass neben Screen Sharing weitere Dienste betroffen waren.

Betroffene Versionen und verfügbare Updates

In der NVD-Datenbank wird als betroffenes Produkt apple macos < 14.8.9 genannt. Als korrigierte Versionen werden aufgeführt:

• macOS Sequoia 15.7.9;
• macOS Sonoma 14.8.9;
• macOS Tahoe 26.6.1.

Apple behob CVE-2026-65400 am 6. August und veröffentlichte die Korrektur mit macOS Tahoe 26.6.1 sowie für die betroffenen älteren Versionen.

Der in der NVD-Datenbank angegebene Geltungsbereich stimmt nicht vollständig mit der Liste der korrigierten Releases überein. Administratoren sollten daher die installierte Versionsnummer prüfen und das von Apple für den jeweiligen Betriebssystemzweig bereitgestellte Update installieren, statt sich ausschließlich an der Grenze 14.8.9 zu orientieren.

Die Korrektur verbessert die Verwaltung des Authentifizierungsstatus, setzt eine strengere Validierung der Zugangsdaten durch und blockiert die in der Schwachstelle beschriebenen betrügerischen Anmeldeversuche.

Hoher Schweregrad und unterschiedliche CVSS-Bewertungen

Die NVD bewertet die Schwachstelle mit CVSS v3: 7.1 und dem folgenden Vektor:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Eine weitere Bewertung im Archiv weist dagegen CVSS 9.8 mit folgendem Vektor aus:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Der Unterschied ergibt sich aus den Parametern, die den Ausnutzungsbedingungen und den Auswirkungen zugrunde gelegt wurden. In beiden Fällen ist die Schwachstelle über das Netzwerk erreichbar und erfordert keine Benutzerinteraktion. Die vom NCSC beobachteten Vorfälle verleihen der Bewertung zusätzliche praktische Relevanz: Die Schwachstelle ist nicht nur theoretischer Natur, sondern wurde genutzt, um erhöhte Berechtigungen zu erlangen und Software auf den betroffenen Systemen zu installieren.

Es ist nicht bekannt, ob CVE-2026-65400 in den Katalog Known Exploited Vulnerabilities (KEV) der CISA aufgenommen wurde. Daher liegt keine damit verbundene CISA-Frist vor.

Was Administratoren und Benutzer tun sollten

Zunächst sollte eine der von Apple genannten korrigierten Versionen installiert werden. Systeme, die nicht sofort aktualisiert werden können, sollten als exponiert betrachtet werden – insbesondere, wenn Screen Sharing aktiviert und TCP/5900 aus dem Internet erreichbar ist.

Wenn kein Fernzugriff erforderlich ist, kann die Funktion hier deaktiviert werden:

Systemeinstellungen → Allgemein → Teilen → Bildschirmfreigabe

Außerdem sollte Port 5900 über Firewalls, Routerregeln oder Netzwerksegmentierung aus der direkten Internet-Erreichbarkeit entfernt werden. Ein notwendiger Fernzugriff sollte nicht ohne geeignete Netzwerkschutzmaßnahmen öffentlich zugänglich gemacht werden.

Auf Systemen, die über diesen Port erreichbar sein könnten, sollte Folgendes überprüft werden:

• aktuelle Verbindungen und Zugriffe auf den Screen-Sharing-Dienst;
• nicht autorisierte Konten oder Aktivitäten mit Root-Rechten;
• Prozesse mit ungewöhnlich hoher und anhaltender CPU-Auslastung;
• Dateien oder Dienste im Zusammenhang mit Monero-Mining;
• unerwartete Änderungen an den Sicherheitseinstellungen;
• neue Firewallregeln, geplante Aufgaben oder unbekannte Startelemente.

Das Vorhandensein eines Miners schließt weitere Kompromittierungen nicht aus. Ein System, auf dem Root-Zugriff erlangt wurde, sollte daher isoliert, untersucht und bei Bedarf gemäß den Verfahren zur Incident Response wiederhergestellt werden – eine bloße Entfernung des Mining-Prozesses reicht nicht aus.