Уязвимость macOS активно эксплуатируется для установки криптомайнеров

Злоумышленники активно эксплуатируют критическую уязвимость в macOS, позволяющую выполнять вредоносный код, предупреждает Национальный центр кибербезопасности Нидерландов (NCSC). Ошибка, отслеживаемая как CVE-2026-65400, была исправлена Apple 7 августа 2026 года для macOS Tahoe, Sequoia и Sonoma; непропатченные системы остаются под угрозой.

NCSC сообщил, что наблюдал атаки на нескольких системах, где порт 5900 был доступен из интернета. Во всех наблюдаемых случаях злоумышленники получали root-доступ и устанавливали криптомайнер Monero, который использует ресурсы Mac для генерации криптовалюты.

Уязвимость, оцененная в 7,1 балла из 10, связана с ошибкой управления состоянием в функции экранного обмена macOS, которая позволяет удаленной стороне просматривать и управлять компьютером. Apple заявила, что ошибка «может» позволить атакующему без учетных данных получить доступ к Mac.

Подробности уязвимости стали известны на конференции по безопасности Black Hat в начале августа 2026 года. Специалисты по безопасности советуют держать порт 5900 закрытым; брандмауэр macOS открывает его при включении экранного обмена, а маршрутизаторы обычно блокируют его, если не настроено иное. Они рекомендуют использовать VPN или SSH-туннель, хотя эти варианты недоступны большинству пользователей.

Самый безопасный подход — отключать экранный обмен, когда он не нужен, и включать его только для активных сеансов. Пользователи могут переключить экранный обмен в Системных настройках > Основные > Обмен. Установка обновления безопасности Apple обязательна. По состоянию на 14 августа 2026 года не было признаков того, что эксплойты устанавливали что-либо, кроме майнеров Monero, но злоумышленники могут использовать эту ошибку для развертывания вредоносного ПО, крадущего учетные данные, или другого вредоносного кода.