Lỗ hổng Screen Sharing trên macOS bị khai thác để cài miner Monero
"Apple patched multiple Screen Sharing vulnerabilities in macOS Tahoe 26.6, 26.6.1, Sequoia 15.7.9, and Sonoma 14.8.9, including CVE-2026-65400, a critical authentication flaw in the remote desktop component. The flaw has been reported as actively exploited on internet-exposed Macs with port 5900 open, where attackers gained root access and installed Monero miners; related Screen Sharing bugs also enabled unauthorized access, DoS, and root-level file operations."
Rủi ro chiếm quyền root và cài mã độc đào Monero trên máy Mac lộ diện Internet; khai thác đang diễn ra trên hệ thống có port 5900 mở.
Có thể gây mất kiểm soát máy trạm/máy chủ, tiêu tốn tài nguyên và tăng nguy cơ gián đoạn; cần ưu tiên vá lỗi và siết cấu hình truy cập từ xa.
Apple đã phát hành bản vá cho nhiều lỗi trong Screen Sharing của macOS Tahoe 26.6.1, Sequoia 15.7.9 và Sonoma 14.8.9. Trong đó, CVE-2026-65400 là lỗi xác thực nghiêm trọng với điểm CVSS 9.8, có thể cho phép kẻ tấn công trên cùng mạng xác thực vào dịch vụ remote desktop mà không cần thông tin đăng nhập hợp lệ.
NCSC Hà Lan cho biết đã nhận được báo cáo về việc lỗ hổng này bị khai thác trên các máy Mac có port 5900 mở ra Internet. Trong các trường hợp được ghi nhận, kẻ tấn công đã giành được root access và cài Monero miner lên hệ thống bị ảnh hưởng.
Ngoài ra, Apple cũng đã vá các lỗi liên quan khác trong Screen Sharing Server, gồm CVE-2026-43779, CVE-2026-43777 và CVE-2026-43760, với rủi ro từ DoS, truy cập dữ liệu nhạy cảm đến thao tác tệp ở mức root. Một số lỗi được mô tả là có thể bị khai thác trước xác thực nếu Screen Sharing hoặc Remote Management được bật.
Khuyến nghị: cập nhật ngay lên bản macOS đã vá, không mở port 5900 trực tiếp ra Internet, và chỉ cho phép truy cập từ mạng tin cậy hoặc qua SSH/VPN. Quản trị viên nên rà soát cấu hình VNC password và kiểm tra dấu hiệu cài đặt miner hoặc truy cập trái phép.