Hakerzy atakują komputery Mac. Luka pozwala ominąć logowanie i przejąć kontrolę nad systemem

Holenderskie Narodowe Centrum Cyberbezpieczeństwa, NCSC, ostrzega przed aktywnymi atakami wykorzystującymi poważną lukę w systemie macOS. Chodzi o funkcję Screen Sharing, dzięki której cyberprzestępca uzyskać dostęp do komputera bez podawania prawidłowych danych logowania. Pierwsze potwierdzone przypadki zakończyły się przejęciem uprawnień roota i instalacją koparki kryptowaluty Monero.

Luka jest oznaczona jako CVE-2026-65400 i występuje w mechanizmie udostępniania ekranu macOS, który umożliwia zdalne sterowanie komputerem przez sieć. Funkcja wykorzystuje protokół VNC działający przez port TCP 5900. Szczególnie narażone są więc komputery, na których port ten został udostępniony bezpośrednio w internecie.

Aktualizacja już dostępna

Apple przygotowało poprawkę 6 sierpnia, a luka została wyeliminowana w macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 oraz macOS Sonoma 14.8.9. Aktualizacje poprawiają sposób zarządzania stanem uwierzytelniania, dzięki czemu system powinien prawidłowo weryfikować dane logowania i odrzucać nieautoryzowane próby uzyskania dostępu.

Holenderskie Narodowe Centrum Cyberbezpieczeństwa, NCSC, ostrzega przed aktywnymi atakami wykorzystującymi poważną lukę w systemie macOS. Chodzi o funkcję Screen Sharing, dzięki której cyberprzestępca uzyskać dostęp do komputera bez podawania prawidłowych danych logowania. Pierwsze potwierdzone przypadki zakończyły się przejęciem uprawnień roota i instalacją koparki kryptowaluty Monero.

Sytuacja stała się jeszcze bardziej poważna po publicznym udostępnieniu kodu pozwalającego wykorzystać podatność. Holenderskie NCSC poinformowało następnie, iż otrzymało zgłoszenia dotyczące rzeczywistych ataków na wiele systemów, w których port 5900 był dostępny z poziomu internetu. W każdym ze zgłoszonych przypadków atakujący miał uzyskać dostęp z uprawnieniami roota, a następnie zainstalować koparkę Monero.

Posiadanie uprawnień roota daje napastnikowi bardzo szeroką kontrolę nad systemem. Potencjalnie może on uzyskiwać dostęp do plików, uruchamiać aplikacje, modyfikować ustawienia zabezpieczeń oraz wykonywać inne działania na przejętym komputerze. Na razie NCSC nie poinformowało jednak, aby zaobserwowane ataki wykraczały poza instalowanie oprogramowania do wydobywania kryptowaluty.

W porównaniu z lukami wymagającymi fizycznego dostępu do urządzenia CVE-2026-65400 jest szczególnie niebezpieczna dla źle skonfigurowanych systemów, ponieważ atak może zostać przeprowadzony przez sieć.

Co zrobić?

Użytkownicy powinni możliwie szybko zainstalować jedną z poprawionych wersji macOS. Jeśli aktualizacja nie jest obecnie możliwa, NCSC zaleca wyłączenie Screen Sharing w ustawieniach systemu, o ile funkcja nie jest potrzebna.