macOS açığı aktif istismarda: kripto madencileri yükleniyor

Hollanda Ulusal Siber Güvenlik Merkezi (NCSC), saldırganların macOS'taki yüksek önem dereceli bir güvenlik açığını aktif olarak istismar ettiğini ve bu açığın kötü amaçlı kod çalıştırmaya olanak tanıdığını duyurdu. CVE-2026-65400 olarak izlenen bu açık, Apple tarafından 7 Ağustos 2026'da macOS Tahoe, Sequoia ve Sonoma için yamalandı; güncellenmemiş sistemler risk altında.

NCSC, saldırıları 5900 portunun internetten erişilebilir olduğu birden fazla sistemde gözlemledi. Gözlemlenen tüm vakalarda saldırganlar root erişimi elde etti ve Mac'in kaynaklarını kullanarak kripto para üreten bir Monero madencisi kurdu.

10 üzerinden 7,1 puan alan bu güvenlik açığı, macOS'un ekran paylaşımı özelliğindeki bir durum yönetimi hatasından kaynaklanıyor. Bu özellik, uzak bir tarafın makineyi görüntülemesine ve kontrol etmesine olanak tanıyor. Apple, açığın kimlik bilgisi olmayan bir saldırganın Mac'e erişim sağlamasına "olanak tanıyabileceğini" söyledi.

Güvenlik açığının ayrıntıları, Ağustos 2026 başında Black Hat güvenlik konferansında kamuoyuna duyuruldu. Güvenlik uzmanları, 5900 portunun kapalı tutulmasını öneriyor; macOS güvenlik duvarı, ekran paylaşımı etkinleştirildiğinde bu portu açıyor ve yönlendiriciler genellikle aksi yapılandırılmadıkça bu portu engelliyor. Uzmanlar, çoğu kullanıcının yeteneklerini aşan VPN veya SSH tüneli kullanılmasını öneriyor.

En güvenli uygulama, ekran paylaşımını gerekmediğinde devre dışı bırakmak ve yalnızca aktif oturumlar için etkinleştirmektir. Kullanıcılar, Sistem Ayarları > Genel > Paylaşım bölümünden ekran paylaşımını açıp kapatabilir. Apple'ın güvenlik güncellemesini yüklemek şarttır. 14 Ağustos 2026 itibarıyla, istismarların Monero madencileri dışında başka bir şey kurduğuna dair bir gösterge yok; ancak saldırganlar bu açığı kimlik bilgisi çalan kötü amaçlı yazılım veya başka zararlı kod dağıtmak için kullanabilir.