Uma falha de segurança recentemente corrigida no macOS da Apple está sendo ativamente explorada no mundo real para instalar um minerador de criptomoeda, alertou o Centro Nacional de Segurança Cibernética dos Países Baixos (NCSC).
A vulnerabilidade em questão é a
CVE-2026-65400
, com pontuação CVSS 9,8. Trata-se de um problema crítico de autenticação que afeta o componente Screen Sharing e pode permitir que um invasor já presente na rede se autentique no serviço integrado de acesso remoto sem credenciais válidas.
O problema está no Screen Sharing do macOS, um recurso nativo de área de trabalho remota que permite controlar um computador pela rede usando o protocolo VNC na porta TCP 5900. Com esse acesso, o invasor pode abrir aplicativos remotamente, acessar arquivos, alterar configurações de segurança e executar outras ações no sistema.
As atualizações liberadas pela Apple aprimoram os mecanismos de gerenciamento de estado para garantir a validação correta de credenciais e impedir tentativas de autenticação não autorizadas. A correção foi entregue em uma atualização emergencial no macOS Tahoe 26.6.1, no macOS Sequoia 15.7.9 e no macOS Sonoma 14.8.9, no início deste mês.
“Um problema de autenticação foi corrigido com melhorias no gerenciamento de estado”, informou a Apple em um comunicado publicado em 6 de agosto de 2026. A empresa creditou o pesquisador de segurança Alfredo Pesoli, da Bynario, pela descoberta e reporte da falha.
Em uma atualização de seu comunicado, o NCSC-NL afirmou ter recebido um relato indicando abuso ativo da vulnerabilidade em múltiplos sistemas nos quais a porta 5900 estava acessível pela internet.
“Em todos esses casos, o usuário root havia obtido acesso ao sistema afetado e instalado um minerador de criptomoeda Monero”, acrescentou a agência.
Até o momento, não há detalhes sobre quando esses ataques foram observados, qual a escala da campanha, se a falha foi explorada como zero-day ou se o uso vai além da mineração de criptomoedas.
A Calif, que divulgou informações adicionais sobre a falha, disse que ela faz parte de uma série de bugs no componente Screen Sharing Server corrigidos pela Apple com o macOS Tahoe 26.6, lançado no fim do mês passado:
-
CVE-2026-43779
, com pontuação CVSS 9,8: uma falha lógica que poderia permitir que um app interceptasse conexões de rede destinadas a outro processo
-
CVE-2026-43777
, com pontuação CVSS 7,5: um problema não especificado que poderia permitir a um invasor remoto causar uma negação de serviço (DoS)
-
CVE-2026-43760
, com pontuação CVSS 8,6: uma falha de acesso que poderia permitir que um app acessasse dados sensíveis do usuário
Em uma publicação feita após a liberação dos patches, Pesoli descreveu a
CVE-2026-43760
como um bug pós-autenticação que exige que o Mac-alvo tenha o Screen Sharing ou o Remote Management ativado com a opção “VNC viewers may control screen with password” configurada, além de o invasor já possuir a senha de VNC.
Segundo o pesquisador, o problema está em um caminho de autenticação legado do Screen Sharing, ligado ao acesso por senha de VNC, que transforma uma operação de cópia de arquivo em divulgação protegida de arquivos, criação arbitrária de arquivos como root e execução remota de comandos como root.
“Depois da etapa de autenticação por VNC, atravessamos uma fronteira que a senha nunca deveria cruzar”, explicou Pesoli. “Um visualizador remoto pode fazer o Screen Sharing do macOS ler arquivos protegidos como root.”
“No outro sentido, o visualizador pode criar arquivos controlados pelo invasor como root. Usamos essa segunda primitiva para instalar uma política válida de sudoers e transformar uma operação de cópia de arquivo em execução remota de comandos como root, ou seja, uma LPE.”
No entanto, um pesquisador de segurança que usa o nome @osxreverser afirmou que o problema real é uma vulnerabilidade de pré-autenticação no daemon do Screen Sharing, o “screensharingd”, que permite comprometer qualquer Mac com Screen Sharing ativado sem necessidade de senha ou de qualquer outra informação. O único pré-requisito é conhecer o endereço IP.
O pesquisador também observou que já estava analisando o bug “há algum tempo” e que não o reportou à Apple “devido ao meu longo histórico com eles”.
“Minha última varredura mostrou cerca de 40 mil hosts com Screen Sharing abertos na internet, quase metade nos EUA. A maioria são IPs residenciais, mas há muitos hosts interessantes em universidades americanas, algumas empresas, um servidor da empresa do BBEdit”, disse @osxreverser em uma postagem posterior no X. “Curtam bastante, nunca exponham esses serviços sem estar atrás de SSH.”
Vale destacar que a
CVE-2026-65400
é diferente da vulnerabilidade de pré-autenticação destacada por @osxreverser, que foi corrigida pela gigante de tecnologia no próprio macOS 26.6, junto com as outras três falhas. O mais interessante é que ambas estão no mesmo arquivo de código-fonte, segundo a Calif.
“O bug de @osxreverser é um único retorno incorreto. Uma verificação de tamanho encerra a execução cedo demais diante de um frame grande e devolve um valor que, por coincidência, é o código de sucesso da leitura imediatamente anterior. O chamador interpreta isso como ‘esta etapa de autenticação foi aprovada’ e avança na máquina de estados. Se o primeiro bug é um valor de retorno desatualizado, o segundo é uma dessincronização da máquina de estados.”
“Nomear uma conta é a única coisa de que o segundo bug precisa, o que o torna mais fraco que o primeiro. Isso mal representa uma barreira. Um nome de usuário não é segredo, e o macOS o exibe na tela de login. O primeiro bug nem isso exige. O segundo já estava presente no 26.5.2 também, lado a lado com o primeiro durante todo esse tempo.”
“Ambos são bugs lógicos. Não há manipulação de heap, nem derrota de ASLR, nem corrida para vencer, nem crash. Basta enviar um ou dois pacotes na ordem certa, e o Mac-alvo permite a entrada. Funciona na primeira vez e funciona sempre, em toda máquina sem patch com Screen Sharing ativado.”
A Calif informou que está retendo detalhes adicionais sobre a
CVE-2026-65400
até que a maioria dos usuários tenha atualizado seus sistemas com a correção, diante da facilidade com que os dois exploits remotos de pré-autenticação e ganho de root podem ser criados com o uso de um agente de inteligência artificial (IA). A empresa de segurança em IA disse ter desenvolvido um exploit funcional para ambas as falhas em quatro horas.
Com a
CVE-2026-65400
agora sob ataque ativo, os achados voltam a mostrar como a IA está reduzindo a distância entre a descoberta de vulnerabilidades e sua transformação em arma.
A recomendação é manter os sistemas atualizados para obter a melhor proteção. Caso a atualização não possa ser feita imediatamente, os usuários podem desativar o Screen Sharing nas Configurações do Sistema, em Geral → Compartilhamento → Screen Sharing, ou em Content & Media, se o recurso não for necessário.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...