Appleが、Moneroマイニングに悪用されたmacOSの脆弱性を修正

公開されたmacOSシステム全体でアクティブな悪用が確認されました

オランダのNCSCは8月12日、インターネットにポート5900が公開されている複数のシステムでCVE-2026-65400の悪用が確認されたことを公表した。報告されたすべてのケースで、攻撃者はルート権限を取得し、Moneroマイナーをインストールしていた。NCSCは、侵害されたMacの台数や攻撃者の身元については明らかにしていない。

Appleは8月6日、macOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9において、CVE-2026-65400の脆弱性を修正した。同社はこの脆弱性を、不適切な状態管理に起因する認証の欠陥であり、ネットワーク上の攻撃者が有効な認証情報なしに画面共有にアクセスできる可能性があると説明している。

セキュリティ企業のHuntressは、この脆弱性がmacOSの画面共有で使用されているセキュアリモートパスワード認証プロセスに影響を与えることを発見した。同社の分析によると、攻撃者は認証されていない接続を認証済みとしてサービスに認識させ、特権アクセスを取得できる可能性があるという。

ハントレス氏によると、この脆弱性は通常の認証よりも前に悪用されるため、画面共有のパスワードを変更したり、従来のVNC認証を無効にしたり、承認済みユーザーアカウントを削除したりしても、脆弱性は解消されないとのことです。推奨される対策は、Appleの最新のセキュリティアップデートをインストールするか、システムにパッチが適用されるまで画面共有を無効にすることです。

数万台のホスト型Macが暴露される

Huntress社の研究者ライアン・ダウド氏は、Censys社の調査により「数万台の潜在的に脆弱なホスト」が特定されたと述べた。この推定値はインターネットに接続されていると思われるMacを対象としており、数万台の侵害が確認された台数と解釈すべきではない。

このリスクは、リモートワークロード用にレンタルされたMac miniを含む、ホスト型ベアメタルMacに特に関係する。ハントレス氏によると、一部のホスティング環境では、新しくプロビジョニングされたマシン上でスクリーン共有サービスが公開されており、システムがAppleの8月6日のパッチをまだ受け取っていない場合、攻撃対象領域が拡大するという。

この脆弱性は、CISAの脆弱性分析において、現在9.8という深刻なCVSSスコアが付けられており、現在の評価では権限やユーザー操作は不要とされている。国家脆弱性データベースによると、CISAは当初より低い深刻度評価を与えていたが、8月14日にスコアを引き上げたことが示されている。

侵害されたインフラストラクチャがクリプトジャッキングに悪用される

オランダで発生した事件は、ウォレット認証情報の盗難ではなく、クリプトジャッキングによるものでした。攻撃者はルート権限を取得した後、侵害したMacのコンピューティングリソースを利用してMoneroをマイニングしました。NCSCは、マイニングソフトウェア、プールアドレス、攻撃者のウォレット、およびマイニングによって得られたXMRの収益については明らかにしていません。

モネロは汎用コンピューターハードウェアでマイニングできるため、クリプトジャッキング攻撃に繰り返し利用されてきた。一方、モネロ（XMR）は本稿執筆時点で約414ドルで取引されており、過去24時間で1％未満、過去7日間で約5％の上昇となっている。 

改善策と展望

最優先事項は、Sonoma、Sequoia、Tahoeの脆弱性のあるバージョンを実行しているMacにパッチを適用することです。画面共有を介してインターネットに直接接続されているシステムは、最も明確なリスクに直面していることが文書で示されていますが、Huntressは、管理者がサービスを無効にしていると考えている場合でも、Macをアップデートすることを推奨しています。

オランダのNCSCは攻撃の事実を確認したが、攻撃の犯人を特定したり、モネロのマイニングインフラを特定する指標を公表したりはしていない。インシデント対応担当者からのさらなる情報開示によって、アップルが8月6日に修正プログラムを実施する前に攻撃がどれほど広範囲に及んでいたかが明らかになる可能性がある。