Vulnerabilidad de macOS explotada para instalar mineros

Atacantes están explotando activamente una vulnerabilidad de alta gravedad en macOS que les permite ejecutar código malicioso, advirtió el Centro Nacional de Ciberseguridad de los Países Bajos (NCSC). La falla, registrada como CVE-2026-65400, fue parcheada por Apple el 7 de agosto de 2026 para macOS Tahoe, Sequoia y Sonoma; los sistemas sin parche siguen en riesgo.

El NCSC dijo que observó los ataques en múltiples sistemas donde el puerto 5900 era accesible desde internet. En todos los casos observados, los atacantes obtuvieron acceso root e instalaron un minero de criptomoneda Monero, que aprovecha los recursos del Mac para generar criptomonedas.

Con una puntuación de 7.1 sobre 10, la vulnerabilidad se origina en un error de gestión de estado en el uso compartido de pantalla de macOS, una función que permite a una parte remota ver y controlar la máquina. Apple dijo que la falla "podría" permitir que un atacante sin credenciales obtenga acceso a un Mac.

Los detalles de la vulnerabilidad se hicieron públicos en la conferencia de seguridad Black Hat a principios de agosto de 2026. Los expertos en seguridad recomiendan mantener cerrado el puerto 5900; el firewall de macOS lo abre cuando el uso compartido de pantalla está habilitado, y los enrutadores generalmente lo bloquean a menos que se configure lo contrario. Recomiendan usar una VPN o un túnel SSH en su lugar, aunque estas opciones están más allá de las capacidades de la mayoría de los usuarios.

La práctica más segura es deshabilitar el uso compartido de pantalla cuando no sea necesario y habilitarlo solo para sesiones activas. Los usuarios pueden activar o desactivar el uso compartido de pantalla en Configuración del Sistema > General > Compartir. Instalar la actualización de seguridad de Apple es esencial. Hasta el 14 de agosto de 2026, no había indicios de que los exploits hubieran instalado algo más que mineros de Monero, pero los atacantes podrían usar la falla para implementar malware de robo de credenciales u otro código dañino.