Una vulnerabilità corretta da Apple all’inizio di agosto viene già sfruttata attivamente contro alcuni Mac, e nei casi individuati dagli esperti di sicurezza gli aggressori sono riusciti a ottenere privilegi di root e a installare software per il mining di criptovalute.
La falla riguarda Screen Sharing, la funzione integrata in macOS che consente di visualizzare e controllare a distanza lo schermo di un altro Mac. Apple l’ha corretta il 6 agosto con macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 e macOS Sonoma 14.8.9, ma pochi giorni dopo il National Cyber Security Centre dei Paesi Bassi ha confermato di aver ricevuto segnalazioni di attacchi reali contro sistemi vulnerabili.
La vulnerabilità è identificata come CVE-2026-65400 e il problema è particolarmente serio perché permette a un aggressore raggiungibile via rete di autenticarsi al servizio Screen Sharing senza possedere credenziali valide. In altre parole, in determinate condizioni non serve conoscere la password dell’utente per riuscire a superare il normale controllo di accesso.
Cosa può succedere a un Mac vulnerabile
Screen Sharing è, di fatto, uno strumento di controllo remoto visto che, quando una connessione viene autorizzata, chi si trova dall’altra parte può visualizzare il desktop e interagire con il Mac utilizzando tastiera e mouse.
Il problema di CVE-2026-65400 è proprio nel processo di autenticazione, e Apple spiega che un aggressore presente sulla rete potrebbe riuscire ad autenticarsi a Screen Sharing senza credenziali valide e afferma di aver risolto il problema migliorando la gestione dello stato durante la fase di autenticazione.
Sulla carta potrebbe sembrare una vulnerabilità limitata a scenari particolari, ma quello che è successo nei giorni successivi alla pubblicazione dell’aggiornamento cambia completamente la prospettiva.
Il NCSC olandese ha infatti aggiornato il proprio bollettino il 12 agosto spiegando di aver ricevuto informazioni relative allo sfruttamento attivo della vulnerabilità su più sistemi nei quali la porta 5900 era raggiungibile direttamente da Internet.
Screen Sharing di macOS utilizza tecnologie compatibili con VNC e comunica normalmente attraverso la porta TCP 5900, per questo quando la funzione viene attivata e il Mac viene configurato in modo da risultare raggiungibile dall’esterno, quella porta può diventare un punto d’ingresso per un eventuale attacco.
Il problema non riguarda tutti i Mac
Screen Sharing non è attivo di default e un Mac utilizzato normalmente a casa, senza configurazioni particolari per l’accesso remoto, presenta un’esposizione molto diversa rispetto a un computer utilizzato come server, installato in un ufficio, in un laboratorio oppure gestito a distanza attraverso Internet.
Sono soprattutto queste macchine a rappresentare il bersaglio più interessante, perché spesso rimangono accese continuamente e possono avere Screen Sharing configurato da tempo.
Il NCSC-NL parla espressamente di sistemi nei quali la porta 5900 risultava accessibile da Internet, quindi non ci troviamo davanti alla situazione in cui basta semplicemente accendere un Mac vulnerabile per essere automaticamente compromessi.
Quali sono i rischi
La parte più preoccupante del rapporto olandese riguarda quello che gli aggressori sono riusciti a fare una volta entrati nei sistemi, visto che nei casi comunicati al NCSC-NL, gli attaccanti hanno ottenuto accesso come root sul Mac compromesso e hanno successivamente installato un miner della criptovaluta Monero.
L’accesso root rappresenta il livello di privilegio più elevato disponibile su un sistema Unix come macOS e consente, potenzialmente, di intervenire su praticamente qualsiasi parte del sistema.
Installare un miner di criptovalute significa invece utilizzare di nascosto CPU e altre risorse del computer della vittima per effettuare calcoli necessari alla generazione di criptovaluta, con i profitti che finiscono naturalmente nelle mani dell’aggressore.
L’utente potrebbe accorgersi del problema osservando un consumo anomalo delle risorse, temperature elevate, ventole più attive del normale o prestazioni ridotte, ma un attacco con privilegi così elevati non deve essere valutato esclusivamente sulla base del malware individuato finora.
Il fatto che negli episodi conosciuti sia stato installato un miner Monero non significa infatti che la vulnerabilità possa essere sfruttata soltanto per questo scopo.
Con un controllo remoto del sistema e privilegi elevati, almeno teoricamente, un aggressore potrebbe tentare di accedere ai file, modificare impostazioni, installare altro software malevolo oppure utilizzare il computer come punto di partenza per ulteriori attività sulla rete. BleepingComputer sottolinea proprio che l’accesso ottenuto attraverso la falla può consentire di aprire applicazioni, accedere ai file e modificare impostazioni del sistema.
Anche la valutazione del rischio è cambiata rapidamente dopo la scoperta degli attacchi.
Le analisi iniziali avevano attribuito alla vulnerabilità un punteggio CVSS inferiore, ma valutazioni successive hanno portato la gravità fino a 9,8 su 10, quindi nella fascia critica. Tom’s Hardware riporta inoltre che la possibilità di automatizzare l’attacco è stata rivalutata proprio alla luce delle nuove informazioni disponibili.
Questo dettaglio è importante perché un attacco automatizzabile permette potenzialmente di cercare su larga scala computer vulnerabili esposti su Internet e tentare di comprometterli senza dover selezionare manualmente ogni singolo bersaglio.
Inoltre, secondo il bollettino aggiornato del NCSC, è disponibile pubblicamente anche del codice proof-of-concept relativo alla vulnerabilità, un altro elemento che aumenta la possibilità che nuovi gruppi provino a sfruttarla.
Apple aveva già rilasciato la correzione il 6 agosto
La buona notizia è che Apple ha già corretto il problema, visto he il 6 agosto sono stati distribuiti tre aggiornamenti specifici:
- macOS Tahoe 26.6.1
- macOS Sequoia 15.7.9
- macOS Sonoma 14.8.9
La documentazione ufficiale Apple indica CVE-2026-65400 come vulnerabilità di Screen Sharing e conferma che il problema è stato risolto attraverso una migliore gestione dello stato dell’autenticazione.
Aggiornare basta?
Per bloccare questa specifica vulnerabilità, installare la versione corretta di macOS è la cosa più importante. C’è però una differenza fondamentale tra proteggere il Mac da un attacco futuro e capire se il computer sia già stato compromesso prima dell’aggiornamento.
Se Screen Sharing non è mai stato attivato e la porta 5900 non era esposta su Internet, lo scenario descritto dal NCSC-NL è molto meno rilevante. Se invece si gestisce un Mac raggiungibile pubblicamente tramite Screen Sharing e il sistema è rimasto senza patch per diversi giorni, soprattutto in ambito aziendale, potrebbe avere senso verificare eventuali attività anomale.
La presenza di un miner Monero rappresenta naturalmente uno dei segnali individuati negli attacchi conosciuti, ma non sarebbe prudente limitare i controlli soltanto a quello.
In ambienti professionali, una macchina che ha potenzialmente subito un accesso root dovrebbe essere analizzata come un sistema compromesso, controllando processi, connessioni di rete, account, persistenza del malware e log relativi agli accessi remoti.
Prova la nuova sezione commenti!