6 agosto 2026 Apple ha rilasciato una correzione di emergenza fuori programma per il bug CVE-2026-65400, un problema di autenticazione in screensharingd, il demone alla base di Screen Sharing, il servizio di desktop remoto integrato in macOS che ascolta sulla porta TCP 5900. L'avviso di Apple descrive un malintenzionato in grado di accedere al servizio tramite la rete e di autenticarsi senza credenziali valide, per poi leggere e scrivere file con privilegi di root — il che è sufficiente per ottenere l'esecuzione completa di codice da remoto. La correzione è stata implementata in macOS Tahoe 26,6,1, macOS Sequoia 15,7,9 e macOS Sonoma 14,8,9, circa dieci giorni dopo che l’aggiornamento periodico di luglio di Apple aveva già risolto altri tre bug distinti Screen Sharing .
Il Centro nazionale per la sicurezza informatica dei Paesi Bassi (NCSC-NL) , in collaborazione con l’ , ha segnalato per la prima volta la vulnerabilità all’indirizzo 7 agosto e, in un aggiornamento pubblicato su 12 agosto , ha riferito di uno sfruttamento attivo: su ogni sistema Mac esposto a Internet da esso esaminato, con la porta 5900 raggiungibile, gli aggressori avevano ottenuto l’accesso come root e installato un miner per la criptovaluta Monero; a quel punto era già disponibile un codice proof-of-concept pubblico. La CISA ha rivisto la valutazione della vulnerabilità “ CVE”, portandola da 7,1 a 9,8 (Critica) sul sito 14 agosto, sostituendo un vettore che presupponeva che un aggressore necessitasse di determinati privilegi con uno che non ne richiede alcuno e che consente il controllo totale del sistema, e ha aggiunto la vulnerabilità al proprio catalogo “ ” delle vulnerabilità note soggette a sfruttamento, disponibile all’indirizzo 18 agosto. Lo stesso giorno, Microsoft Security Intelligence ha segnalato di aver rilevato un attacco su un numero limitato di dispositivi macOS: dopo aver ottenuto l’accesso root tramite Screen Sharing, gli autori dell’attacco hanno trasferito sul dispositivo una chiave pubblica SSH e alcuni script, hanno stabilito una persistenza SSH, hanno cancellato i log e la cronologia, hanno modificato le impostazioni del filtro dei pacchetti e hanno distribuito il miner di criptovaluta XMRig 6,26,0 sotto forma di un file binario nascosto .config/sysmond che si mascherava da com.apple.airportd, mantenendo la persistenza tramite un LaunchDaemon KeepAlive.
In cosa consiste la vulnerabilità
screensharingd è il demone di macOS alla base di Screen Sharing , il servizio di desktop remoto integrato basato su VNC che ascolta sulla porta TCP 5900. La vulnerabilità CVE-2026-65400 consente a un aggressore di rete di completare l’autenticazione a tale servizio senza una password valida, per poi sfruttare la sessione risultante per leggere file protetti e scrivere file controllati dall’aggressore con privilegi di root, il che è sufficiente per ottenere l’esecuzione remota di codice con privilegi di root. Non è richiesto alcun accesso locale né alcuna interazione da parte dell'utente, ma solo la raggiungibilità del servizio tramite la rete. In base alla mappatura con il modello MITRE ATT&CK, le tecniche rilevanti sono la T1190 (Sfruttamento di applicazioni esposte al pubblico) per il vettore di accesso iniziale, la T1098,004 (Chiavi autorizzate SSH) e la T1543,004 (Creazione o modifica di un processo di sistema: avvio di un demone) per la persistenza osservata in ambiente reale, e la T1496 (Dirottamento delle risorse) per il payload di cryptomining.
Aspetti fondamentali da tenere presenti
- L'unico requisito è l'accesso di rete alla porta 5900 sull' Mac di destinazione: l'autore dell'attacco non necessita di un nome utente o di una password validi, non deve aver già effettuato l'accesso né eseguire codice sul computer, e non è necessario che la vittima clicchi o approvi alcunché.
- Per superficie esposta si intende qualsiasi Mac con l' Screen Sharing e abilitato e la porta 5900 raggiungibile da una rete non attendibile, in particolare dalla rete Internet aperta.
- Una volta sfruttata questa vulnerabilità, un malintenzionato ottiene pieno accesso come root, il che significa che nessun file o funzione di sistema è off-limits. Negli attacchi osservati, tale accesso è stato utilizzato per installare una chiave SSH nascosta finalizzata a garantire un accesso remoto persistente e per distribuire un miner della criptovaluta Monero.
- Problema risolto in macOS Tahoe 26,6,1, Sequoia 15,7,9 e Sonoma 14,8,9 (6 agosto, 2026). La CISA ha rivisto il punteggio CVSS da 7,1 a 9,8 (Critico) sul sito 14 agosto e lo ha aggiunto al catalogo KEV all’indirizzo 18 agosto, fissando come termine federale per l’adeguamento il 21 agosto 2026.
- I dispositivi in cui è disattivata la funzione " Screen Sharing " non sono vulnerabili a questo vettore di attacco, anche se non sono stati aggiornati; tuttavia, il codice vulnerabile rimane presente fino all'applicazione dell'aggiornamento.
In che modo “ Tanium ” può esservi d’aiuto
Tanium Guardian: Il dashboard CVE-2026-65400 illustra lo stato attuale dell’ Screen Sharing e nell’intera flotta e mette in evidenza i dispositivi effettivamente esposti: endpoint privi di patch su cui è inoltre abilitata la funzione “ Screen Sharing ”. Deploy il pacchetto “Disable Screen Sharing [macOS]” direttamente dalla dashboard come misura correttiva provvisoria sugli endpoint che non fanno affidamento su tale funzionalità (che è disattivata per impostazione predefinita nelle nuove installazioni); l’applicazione della patch rimane la soluzione principale.
Tanium Comply: Eseguite una valutazione delle vulnerabilità e filtrate i risultati per il codice CVE-2026-65400 , al fine di visualizzare i conteggi attuali e verificare quali endpoint necessitino ancora dell’aggiornamento a macOS Tahoe 26,6,1, Sequoia 15,7,9 o Sonoma 14,8,9. Esegua nuovamente la valutazione dopo l'applicazione delle patch per verificare che ogni problema rilevato sia stato risolto.
Tanium Patch: I clienti che gestiscono i Mac tramite MDM possono distribuire l’aggiornamento come “Aggiornamento” nell’ambiente di lavoro Patch ; gli aggiornamenti di macOS in Tanium Patch vengono forniti sotto forma di comandi MDM, pertanto la maggior parte dei clienti non avrà bisogno di registrazioni o strumenti separati per far passare i dispositivi a Tahoe 26,6,1, Sequoia 15,7,9 o Sonoma 14,8,9.
Tanium Interact: Eseguite le domande predefinite della dashboard “ Interact ” per individuare il modello di persistenza segnalato in ambiente reale.
Riferimenti
- Contenuti sulla sicurezza Apple, macOS Tahoe 26,6,1
- Contenuti sulla sicurezza Apple, macOS Sequoia 15,7,9
- Contenuti sulla sicurezza di Apple, macOS Sonoma 14,8,9
- CVE-2026-65400 Dettagli - NVD
- CVE-2026-65400 - Catalogo delle vulnerabilità note e sfruttate della CISA
- Avviso NCSC-NL n. NCSC-2026-0280
- Notizie sulla sicurezza informatica: gli hacker stanno attivamente sfruttando in ambiente reale una vulnerabilità del servizio “ Screen Sharing ” integrato in macOS
- Tanium Comply Guida per l'utente, Creazione di valutazioni delle vulnerabilità
- Tanium Interact Guida per l'utente, Panoramica su " Interact "
Gruppo di ricerca del Guardian
Il Guardian Research Team è un gruppo specializzato di esperti di sicurezza informatica incaricato di identificare, analizzare e fornire informazioni utili per l’azione su minacce critiche, emergenti e di tipo zero-day.
