Apple, Monero madenciliği için kullanılan macOS açığını yamaladı.

Açığa çıkan macOS sistemlerinde aktif istismar doğrulandı.

Hollanda NCSC, 12 Ağustos'ta yaptığı güncellemeyle, internete açık 5900 portuna sahip birden fazla sistemde CVE-2026-65400 güvenlik açığının aktif olarak kullanıldığını doğruladı. Bildirilen her vakada, saldırganlar root erişimi elde ederek bir Monero madencilik yazılımı kurdu. Kurum, kaç Mac bilgisayarın etkilendiğini veya saldırganları açıklamadı.

Apple, 6 Ağustos'ta macOS Tahoe 26.6.1, Sequoia 15.7.9 ve Sonoma 14.8.9 sürümlerinde CVE-2026-65400 açığını yamaladı. Şirket, bu açığı, ağdaki bir saldırganın geçerli kimlik bilgileri olmadan Ekran Paylaşımı'na erişmesine olanak sağlayabilecek, hatalı durum yönetimi nedeniyle oluşan bir kimlik doğrulama hatası olarak tanımladı.

Güvenlik firması Huntress, söz konusu güvenlik açığının macOS Ekran Paylaşımı tarafından kullanılan Güvenli Uzaktan Parola kimlik doğrulama sürecini etkilediğini tespit etti. Analizleri, bir saldırganın hizmetin kimlik doğrulaması yapılmamış bir bağlantıyı kimlik doğrulaması yapılmış gibi algılamasına ve ayrıcalıklı erişim elde etmesine neden olabileceğini gösterdi.

Huntress, istismarın normal kimlik doğrulamasından önce gerçekleştiğini belirterek, Ekran Paylaşımı şifresini değiştirmenin, eski VNC kimlik doğrulamasını devre dışı bırakmanın veya yetkili kullanıcı hesaplarını kaldırmanın güvenlik açığını gidermediğini söyledi. Önerilen çözüm, Apple'ın en son güvenlik güncellemesini yüklemek veya sistem yamalanana kadar Ekran Paylaşımını devre dışı bırakmaktır.

Barındırılan On Binlerce Mac Bilgisayarın Güvenliği Ortaya Çıktı

Huntress araştırmacısı Ryan Dowd, Censys aramasının "on binlerce potansiyel olarak savunmasız bilgisayar" tespit ettiğini söyledi. Bu tahmin, internete açık görünen Mac'leri kapsıyor ve on binlerce doğrulanmış güvenlik ihlali olarak yorumlanmamalıdır.

Risk özellikle uzaktan çalışma için kiralanan Mac mini'ler de dahil olmak üzere, barındırılan çıplak metal Mac'ler için geçerlidir. Huntress, bazı barındırma ortamlarının yeni sağlanan makinelerde Ekran Paylaşımı hizmetlerini kullanıma sunduğunu ve sistemler henüz Apple'ın 6 Ağustos yamalarını almadığında saldırı yüzeyini artırdığını söyledi.

CISA'nın güvenlik açığı analizine göre, söz konusu güvenlik açığı şu anda 9.8 kritik CVSS puanına sahip ve mevcut değerlendirmeye göre herhangi bir ayrıcalık veya kullanıcı etkileşimi gerektirmiyor. Ulusal Güvenlik Açığı Veritabanı, CISA'nın başlangıçta daha düşük bir önem derecesi verdikten sonra 14 Ağustos'ta puanlamayı yükselttiğini gösteriyor.

Güvenlik Açığı Olan Altyapı Kripto Para Hırsızlığı İçin Kullanılıyor

Hollanda'daki vakalar, cüzdan kimlik bilgilerinin çalınması yerine kripto para madenciliğiyle ilgiliydi. Saldırganlar, ele geçirdikleri Mac'lerin işlem kaynaklarını kullanarak, root kontrolü elde ettikten sonra Monero madenciliği yaptılar. NCSC, madencilik yazılımını, havuz adreslerini, saldırgan cüzdanlarını veya elde edilen XMR gelirlerini açıklamadı.

Monero, genel amaçlı bilgisayar donanımı kullanılarak madenciliği yapılabildiği için kripto para hırsızlığı kampanyalarında tekrar tekrar yer almıştır. Bu arada, Monero (XMR) haberin yazıldığı sırada yaklaşık 414 dolardan işlem görüyordu; bu da son 24 saatte %1'den az, son 7 günde ise yaklaşık %5'lik bir artışa işaret ediyor. 

İyileştirme ve Gelecek Perspektifi

Öncelikli iş, Sonoma, Sequoia ve Tahoe'nun güvenlik açığı bulunan sürümlerini çalıştıran Mac'lere yama uygulamaktır. Ekran Paylaşımı aracılığıyla doğrudan internete açık olan sistemler, en net belgelenmiş riskle karşı karşıyadır; ancak Huntress, yöneticiler hizmetin devre dışı bırakıldığına inansalar bile Mac'leri güncellemeyi önermektedir.

Hollanda NCSC, istismarı doğruladı ancak kampanyayı kime atfettiğine dair herhangi bir bilgi vermedi veya Monero madencilik altyapısını tanımlayan göstergeler yayınlamadı. Olay müdahale ekiplerinden gelecek ek açıklamalar, Apple'ın 6 Ağustos'taki düzeltmesinden önce saldırıların ne kadar yaygınlaştığını netleştirebilir.