Apple corrige falha no macOS explorada para mineração de Monero

Exploração ativa confirmada em sistemas macOS expostos

Em 12 de agosto, o NCSC holandês atualizou seu alerta para confirmar a exploração ativa da vulnerabilidade CVE-2026-65400 em múltiplos sistemas com a porta 5900 exposta à internet. Em todos os casos relatados, os atacantes obtiveram acesso root e instalaram um minerador de Monero. A agência não divulgou quantos Macs foram comprometidos nem identificou os atacantes.

A Apple corrigiu a vulnerabilidade CVE-2026-65400 em 6 de agosto no macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. A empresa descreveu a falha como uma falha de autenticação causada por um gerenciamento de estado inadequado que poderia permitir que um invasor na rede acessasse o Compartilhamento de Tela sem credenciais válidas.

A empresa de segurança Huntress descobriu que a falha afeta o processo de autenticação por Senha Remota Segura usado pelo Compartilhamento de Tela do macOS. Sua análise mostrou que um invasor poderia fazer com que o serviço tratasse uma conexão não autenticada como autenticada e obtivesse acesso privilegiado.

Como a exploração ocorre antes da autenticação normal, Huntress afirmou que alterar a senha do Compartilhamento de Tela, desativar a autenticação VNC legada ou remover contas de usuário autorizadas não resolve a vulnerabilidade. A solução recomendada é instalar a atualização de segurança mais recente da Apple ou desativar o Compartilhamento de Tela até que o sistema seja corrigido.

Dezenas de milhares de Macs hospedados expostos

O pesquisador da Huntress, Ryan Dowd, afirmou que uma busca no Censys identificou “dezenas de milhares de hosts potencialmente vulneráveis”. Essa estimativa abrange Macs que pareciam expostos à internet e não deve ser interpretada como dezenas de milhares de comprometimentos confirmados.

O risco é particularmente relevante para Macs bare-metal hospedados, incluindo Mac minis alugados para cargas de trabalho remotas. Huntress afirmou que alguns ambientes de hospedagem expõem os serviços de Compartilhamento de Tela em máquinas recém-provisionadas, aumentando a superfície de ataque quando os sistemas ainda não receberam as atualizações da Apple de 6 de agosto.

A falha agora possui uma pontuação crítica de 9,8 no CVSS (California Vulnerability System) da análise de vulnerabilidades da CISA, sem necessidade de privilégios ou interação do usuário, de acordo com a avaliação atual. O Banco de Dados Nacional de Vulnerabilidades (NVD) mostra que a CISA atualizou a pontuação em 14 de agosto, após inicialmente atribuir uma avaliação de gravidade menor.

Infraestrutura comprometida é explorada para cryptojacking

Os casos holandeses envolviam cryptojacking, e não o roubo de credenciais de carteiras digitais. Os atacantes usaram os recursos computacionais dos Macs comprometidos para minerar Monero após obterem controle root. O NCSC não divulgou o software de mineração, os endereços dos pools, as carteiras dos atacantes nem os lucros em XMR obtidos.

O Monero tem aparecido repetidamente em campanhas de cryptojacking porque pode ser minerado usando hardware de computação de uso geral. Enquanto isso, o Monero (XMR) estava cotado a cerca de US$ 414 no momento da publicação, indicando um aumento de menos de 1% nas últimas 24 horas e quase 5% nos últimos 7 dias. 

Remediação e Perspectivas

A prioridade imediata é corrigir os Macs que executam versões vulneráveis do Sonoma, Sequoia e Tahoe. Os sistemas expostos diretamente à internet por meio do Compartilhamento de Tela enfrentam o risco documentado mais evidente, embora a Huntress recomende a atualização dos Macs mesmo quando os administradores acreditam que o serviço está desativado.

O Centro Nacional de Segurança Cibernética da Holanda confirmou a exploração da vulnerabilidade, mas não atribuiu a campanha nem publicou indicadores que identifiquem a infraestrutura de mineração de Monero. Mais informações dos responsáveis pela resposta ao incidente podem esclarecer a extensão dos ataques antes da correção implementada pela Apple em 6 de agosto.