Apple hat eine kritische Schwachstelle in der macOS-Bildschirmfreigabe gepatcht, nachdem Angreifer internetzugängliche Macs ausgenutzt hatten, um Root-Zugriff zu erlangen und Monero-Mining-Software zu installieren, so eine aktualisierte Warnung des niederländischen National Cyber Security Centre.
Zusammenfassung
- Apple hat CVE-2026-65400 gepatcht, nachdem Angreifer Mac-Bildschirmfreigabedienste ausgenutzt hatten, um Monero-Miner remote zu installieren.
- Niederländische Cybersicherheitsbeamte bestätigten, dass kompromittierte Macs Root-Zugriff und nicht autorisierte Monero-Mining-Software installiert hatten.
- CISA bewertet den Authentifizierungsfehler nun mit 9,8 als kritisch, gegenüber der früheren Gesamtbewertung von 7,1.
- Huntress fand zehntausende potenziell exponierte Macs, insbesondere internetgehostete Bare-Metal-Apple-Systeme weltweit.
- Das Ändern von Bildschirmfreigabe-Passwörtern kann den Fehler nicht beheben; betroffene Macs benötigen sofort Apple-Sicherheitsupdates.
Das niederländische NCSC aktualisierte seine Warnung am 12. August, um die aktive Ausnutzung von CVE-2026-65400 auf mehreren Systemen mit Port 5900, der dem Internet ausgesetzt ist, zu bestätigen. In jedem gemeldeten Fall erlangten Angreifer Root-Zugriff und installierten einen Monero-Miner. Die Behörde gab nicht bekannt, wie viele Macs kompromittiert wurden oder die Angreifer identifizierte.
Apple-Bildschirmfreigabe-Schwachstelle umgeht Authentifizierung
Apple patchte CVE-2026-65400 am 6. August in macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9. Das Unternehmen beschrieb es als Authentifizierungsfehler, der durch unsachgemäße Zustandsverwaltung verursacht wird und es einem Angreifer im Netzwerk ermöglichen könnte, ohne gültige Anmeldeinformationen auf die Bildschirmfreigabe zuzugreifen.
Die Sicherheitsfirma Huntress fand heraus, dass der Fehler den Secure-Remote-Password-Authentifizierungsprozess betrifft, der von der macOS-Bildschirmfreigabe verwendet wird. Ihre Analyse zeigte, dass ein Angreifer den Dienst dazu bringen konnte, eine nicht authentifizierte Verbindung als authentifiziert zu behandeln und privilegierten Zugriff zu erhalten.
Da die Ausnutzung vor der normalen Authentifizierung erfolgt, sagte Huntress, dass das Ändern eines Bildschirmfreigabe-Passworts, das Deaktivieren der Legacy-VNC-Authentifizierung oder das Entfernen autorisierter Benutzerkonten die Schwachstelle nicht behebt. Die empfohlene Lösung ist die Installation des neuesten Sicherheitsupdates von Apple oder das Deaktivieren der Bildschirmfreigabe, bis das System gepatcht werden kann.
Zehntausende Macs könnten exponiert gewesen sein
Der Huntress-Forscher Ryan Dowd sagte, eine Censys-Suche habe „zehntausende potenziell verwundbare Hosts“ identifiziert. Diese Schätzung umfasst Macs, die dem Internet ausgesetzt zu sein schienen, und sollte nicht als zehntausende bestätigte Kompromittierungen interpretiert werden.
Das Risiko ist besonders relevant für gehostete Bare-Metal-Macs, einschließlich Mac minis, die für Remote-Workloads gemietet werden. Huntress sagte, einige Hosting-Umgebungen setzen Bildschirmfreigabedienste auf neu bereitgestellten Maschinen aus, was die Angriffsfläche vergrößert, wenn Systeme noch nicht die Patches vom 6. August erhalten haben.
Der Fehler trägt jetzt einen kritischen CVSS-Score von 9,8 von der CISA-Schwachstellenanalyse, wobei unter der aktuellen Bewertung keine Privilegien oder Benutzerinteraktion erforderlich sind. Die National Vulnerability Database zeigt, dass CISA die Bewertung am 14. August nach der anfänglichen niedrigeren Schweregradbewertung hochgestuft hat.
Hacker nutzten kompromittierte Macs zum Monero-Mining
Die niederländischen Fälle betrafen Kryptojacking und nicht gemeldeten Diebstahl von Wallet-Anmeldeinformationen. Angreifer nutzten die Rechenressourcen der kompromittierten Macs, um Monero zu minen, nachdem sie Root-Kontrolle erlangt hatten. Das NCSC hat die Mining-Software, Pool-Adressen, Angreifer-Wallets oder resultierende XMR-Erlöse nicht offengelegt.
Monero ist wiederholt in Kryptojacking-Kampagnen aufgetaucht, da es mit Allzweck-Hardware gemined werden kann. Wie crypto.news bereits berichtete, fand eine Darktrace-Untersuchung Malware, die heimlich Kryptowährungs-Mining-Software bereitstellte, nachdem Angreifer Zugriff auf Windows-Systeme erlangt hatten.
Apple-Geräte waren auch mit anderen krypto-bezogenen Malware-Kampagnen konfrontiert. In verwandter Berichterstattung zielten nordkoreanische Hacker mit Malware auf macOS-Benutzer ab, die auf Krypto-Unternehmen abzielte, unter Verwendung gefälschter Besprechungen und bösartiger Software-Updates.
In der Zwischenzeit wurde Monero (XMR) zum Zeitpunkt der Drucklegung bei etwa 414 $ gehandelt, was einem Anstieg von weniger als 1 % in den letzten 24 Stunden und fast 5 % in den letzten 7 Tagen entspricht (laut Marktdaten von crypto.news).
Was als Nächstes passiert
Die unmittelbare Priorität besteht darin, Macs zu patchen, auf denen anfällige Versionen von Sonoma, Sequoia und Tahoe laufen. Systeme, die über die Bildschirmfreigabe direkt mit dem Internet verbunden sind, sind dem klarsten dokumentierten Risiko ausgesetzt, obwohl Huntress empfiehlt, Macs auch dann zu aktualisieren, wenn Administratoren glauben, dass der Dienst deaktiviert ist.
Das niederländische NCSC hat die Ausnutzung bestätigt, aber die Kampagne nicht zugeordnet oder Indikatoren veröffentlicht, die die Monero-Mining-Infrastruktur identifizieren. Weitere Offenlegungen von Incident-Respondern könnten klären, wie weit verbreitet die Angriffe vor Apples Fix vom 6. August waren.
