macOS, exploit attivo di Screen Sharing: installato un miner Monero sui sistemi esposti

La falla consente di superare l’autenticazione

Il National Cyber Security Centre (NCSC) dei Paesi Bassi ha segnalato lo sfruttamento attivo di CVE-2026-65400, una vulnerabilità in macOS Screen Sharing, la funzione integrata per il controllo remoto del desktop.

La segnalazione è stata resa pubblica il 14 agosto 2026, dopo che la disponibilità di codice exploit pubblico avrebbe agevolato gli attacchi. Il problema riguarda la gestione dello stato dell’autenticazione: un attaccante presente sulla rete può autenticarsi al servizio senza disporre di credenziali valide.

Screen Sharing si basa sul protocollo VNC e utilizza normalmente la porta TCP/5900. Quando questa porta è raggiungibile direttamente da Internet, il servizio diventa un punto d’ingresso remoto per chiunque riesca a individuare l’host vulnerabile.

La vulnerabilità è catalogata con CWE-287, relativo all’autenticazione impropria. L’identificativo completo è CVE-2026-65400.

Gli attacchi hanno portato a privilegi root

L’NCSC ha osservato abusi su più sistemi macOS con la porta 5900 esposta pubblicamente. In tutti i casi comunicati all’agenzia, gli aggressori hanno ottenuto accesso root e installato un miner per la criptovaluta Monero.

Il mining consuma processore, memoria ed energia, rallenta il dispositivo e può aumentare i costi operativi. Il problema, però, non si limita alle prestazioni: un accesso root consente di intervenire su file, applicazioni e impostazioni di sicurezza con il massimo livello di privilegio locale.

L’accesso remoto può permettere anche di:

• aprire e utilizzare applicazioni;
• leggere file presenti sul Mac;
• modificare configurazioni di sicurezza;
• installare ulteriori componenti;
• alterare processi e servizi del sistema.

Non è noto se la campagna sia ancora in corso, quanti dispositivi siano stati compromessi o se gli attaccanti abbiano perseguito obiettivi diversi dal cryptomining. Le informazioni disponibili non confermano nemmeno il coinvolgimento di altri servizi oltre a Screen Sharing.

Versioni coinvolte e aggiornamenti disponibili

La scheda NVD indica come prodotto interessato apple macos < 14.8.9. Le versioni correttive riportate sono:

• macOS Sequoia 15.7.9;
• macOS Sonoma 14.8.9;
• macOS Tahoe 26.6.1.

Apple ha corretto CVE-2026-65400 il 6 agosto, distribuendo la correzione in macOS Tahoe 26.6.1 e nelle release precedenti interessate.

L’ambito espresso dalla scheda NVD non coincide perfettamente con l’elenco delle release corrette. Per questo motivo, gli amministratori dovrebbero verificare il numero di versione installato e applicare l’aggiornamento disponibile proposto da Apple per quel ramo del sistema operativo, senza basarsi soltanto sul limite 14.8.9.

La correzione interviene sulla gestione dello stato dell’autenticazione, imponendo una validazione più rigorosa delle credenziali e bloccando i tentativi fraudolenti descritti nella vulnerabilità.

Gravità elevata e valutazioni CVSS differenti

La NVD assegna alla falla un punteggio CVSS v3 di 7.1, con il vettore:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Una valutazione disponibile nell’archivio assegna invece CVSS 9.8, con il vettore:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

La differenza dipende dai parametri attribuiti alle condizioni di sfruttamento e all’impatto. In entrambi i casi, la vulnerabilità è raggiungibile dalla rete e non richiede interazione dell’utente. Gli episodi osservati dall’NCSC aggiungono un elemento concreto alla valutazione: la falla non è soltanto teorica, ma è stata utilizzata per ottenere privilegi elevati e installare software sui sistemi colpiti.

Non è noto se CVE-2026-65400 sia stata inserita nel catalogo Known Exploited Vulnerabilities (KEV) della CISA. Di conseguenza, non è disponibile una scadenza CISA associata a questa vulnerabilità.

Cosa devono fare amministratori e utenti

La prima misura consiste nell’installare una delle release correttive indicate da Apple. I sistemi che non possono essere aggiornati subito dovrebbero essere trattati come esposti, soprattutto quando Screen Sharing è attivo e TCP/5900 è pubblicata su Internet.

Se il controllo remoto non è necessario, è possibile disabilitarlo da:

Impostazioni di Sistema → Generali → Condivisione → Condivisione schermo

La porta 5900 dovrebbe inoltre essere rimossa dall’esposizione diretta a Internet tramite firewall, regole del router o segmentazione di rete. L’accesso remoto, quando indispensabile, non dovrebbe essere pubblicato senza adeguate protezioni di rete.

Sui sistemi potenzialmente raggiungibili attraverso quella porta è opportuno verificare:

• connessioni e accessi recenti al servizio Screen Sharing;
• account o attività con privilegi root non autorizzati;
• processi che utilizzano CPU in modo anomalo e persistente;
• file o servizi associati al mining di Monero;
• modifiche impreviste alle impostazioni di sicurezza;
• nuove regole firewall, attività pianificate o elementi di avvio sconosciuti.

La presenza di un miner non esclude ulteriori compromissioni. Un sistema sul quale sia stato ottenuto accesso root dovrebbe quindi essere isolato, analizzato e, quando necessario, ripristinato secondo le procedure di risposta agli incidenti, oltre alla semplice rimozione del processo di mining.