Actief misbruikte Mac-kwetsbaarheid installeert cryptominers

Aanvallers maken actief misbruik van een ernstige macOS-kwetsbaarheid waarmee ze kwaadaardige code kunnen uitvoeren, waarschuwt het Nationaal Cyber Security Centrum (NCSC) van Nederland. De fout, geregistreerd als CVE-2026-65400, werd op 7 augustus 2026 door Apple verholpen voor macOS Tahoe, Sequoia en Sonoma; systemen zonder patch blijven kwetsbaar.

Het NCSC meldde dat het de aanvallen op meerdere systemen heeft waargenomen waar poort 5900 vanaf internet bereikbaar was. In elk waargenomen geval kregen aanvallers root-toegang en installeerden ze een Monero-cryptominer, die de rekenkracht van de Mac gebruikt om cryptovaluta te genereren.

De kwetsbaarheid, met een score van 7,1 op 10, is het gevolg van een fout in het toestandsbeheer van macOS-schermdeling, een functie waarmee een externe partij het scherm kan bekijken en bedienen. Apple zei dat de fout 'mogelijk' een aanvaller zonder inloggegevens toegang tot een Mac kan geven.

Details over de kwetsbaarheid werden begin augustus 2026 openbaar gemaakt op de beveiligingsconferentie Black Hat. Beveiligingsadviseurs raden aan om poort 5900 gesloten te houden; de macOS-firewall opent deze poort wanneer schermdeling is ingeschakeld, en routers blokkeren deze doorgaans tenzij anders geconfigureerd. Ze adviseren om in plaats daarvan een VPN- of SSH-tunnel te gebruiken, hoewel deze opties voor de meeste gebruikers te ingewikkeld zijn.

De veiligste aanpak is om schermdeling uit te schakelen wanneer deze niet nodig is en alleen in te schakelen voor actieve sessies. Gebruikers kunnen schermdeling aan- of uitzetten via Systeeminstellingen > Algemeen > Delen. Het installeren van Apple's beveiligingsupdate is essentieel. Tot 14 augustus 2026 waren er geen aanwijzingen dat de exploits iets anders hadden geïnstalleerd dan Monero-miners, maar aanvallers zouden de fout kunnen gebruiken om malware die inloggegevens steelt of andere schadelijke code te verspreiden.