Aktywnie wykorzystywana luka w macOS instaluje koparki kryptowalut

Atakujący aktywnie wykorzystują lukę o wysokim stopniu zagrożenia w macOS, która pozwala im na wykonanie złośliwego kodu – ostrzega holenderskie Narodowe Centrum Cyberbezpieczeństwa (NCSC). Luka, oznaczona jako CVE-2026-65400, została załatana przez Apple 7 sierpnia 2026 roku dla systemów macOS Tahoe, Sequoia i Sonoma; systemy bez aktualizacji pozostają zagrożone.

NCSC poinformowało, że zaobserwowało ataki na wielu systemach, w których port 5900 był dostępny z internetu. W każdym zaobserwowanym przypadku atakujący uzyskali dostęp root i zainstalowali koparkę kryptowaluty Monero, która wykorzystuje zasoby Maca do generowania kryptowaluty.

Luka, oceniona na 7,1 na 10 punktów, wynika z błędu w zarządzaniu stanem w funkcji udostępniania ekranu w macOS, która pozwala zdalnej stronie na podgląd i kontrolowanie komputera. Apple stwierdziło, że luka „może” pozwolić atakującemu bez poświadczeń na uzyskanie dostępu do Maca.

Szczegóły luki zostały ujawnione na konferencji bezpieczeństwa Black Hat na początku sierpnia 2026 roku. Specjaliści ds. bezpieczeństwa zalecają trzymanie portu 5900 zamkniętego; zapora macOS otwiera go, gdy włączone jest udostępnianie ekranu, a routery zwykle blokują go, chyba że skonfigurowano inaczej. Zalecają korzystanie z VPN lub tunelu SSH, choć te opcje są poza możliwościami większości użytkowników.

Najbezpieczniejszą praktyką jest wyłączenie udostępniania ekranu, gdy nie jest potrzebne, i włączanie go tylko na czas aktywnych sesji. Użytkownicy mogą przełączyć udostępnianie ekranu w Ustawieniach systemowych > Ogólne > Udostępnianie. Instalacja aktualizacji zabezpieczeń Apple jest niezbędna. Według stanu na 14 sierpnia 2026 roku nie było oznak, aby exploity instalowały coś innego niż koparki Monero, ale atakujący mogą wykorzystać tę lukę do wdrożenia złośliwego oprogramowania kradnącego dane uwierzytelniające lub innego szkodliwego kodu.