Уязвимость приложения Screen Sharing предоставляет злоумышленникам цельный контроль над Mac жертв

Злоумышленники активно используют уязвимость CVE-2026-65400, позволяющую обойти аутентификацию функции «Совокупный монитор» (Screen Sharing) в macOS для компрометации компьютеров Mac с открытым портом 5900, сообщил Национальный центр кибербезопасности Нидерландов (NCSC‑NL).

Агентство указывает, что во всех зафиксированных случаях хакеры получали root‑доступ и устанавливали майнеры криптовалюты Monero. Apple устранила уязвимость 6 августа 2026 года в рамках внепланового обновления, охватывающего macOS Tahoe 26.6.1, Sequoia 15.7.9 и Sonoma 14.8.9. 

Тем не менее официальную оценку серьёзности уязвимости пересмотрели. 14 августа Агентство по кибербезопасности и защите инфраструктуры США (CISA) повысило рейтинг по шкале CVSS с 7,1 до 9,8 балла, оценив атаку как автоматизируемую.

NCSC‑NL в начальный раз сообщил об уязвимости 7 августа — на следующий день после выхода обновлений от Apple. Нидерландское ведомство призвало организации немедленно обновить системы. В рекомендациях от 12 августа добавили, что в открытом доступе уже появился эксплойт проверки концепции. Также агентство зафиксировало случаи активной эксплуатации уязвимости на нескольких системах, доступных из интернета.

Технические подробности уязвимости представили на конференции Black Hat в первой половине августа вместе с видео, демонстрирующим работу эксплойта. Полученный злоумышленниками доступ на уровне root соответствует тому, который исследователи показали в мае, когда с помощью искусственного интеллекта удалось обойти механизм защиты целостности памяти (Memory Integrity Enforcement) на чипах M5 от Apple.

В журнале изменений NVD для CVE-2026-65400 указано, что 6 августа CISA первоначально оценила уязвимость в 7,1 балла. Агентство сообщило, что злоумышленнику необходимы привилегии низкого уровня и что последствия атаки могут быть лишь частичными. Позже CISA заменило это на вектор, не требующий никаких привилегий и обеспечивающий полную компрометацию конфиденциальности, целостности и доступности.

Уязвимость используется, когда порт 5900 открыт для доступа из интернета. При включённой функции Screen Sharing брандмауэр macOS открывает этот порт. Маршрутизаторы и специализированные брандмауэры обычно блокируют порт, если они не настроены на переопределение этой настройки. Специалисты по безопасности обычно советуют пользователям Mac держать порт закрытым даже при использовании «Общего экрана» и вместо этого подключаться через VPN или SSH‑туннелирование. Альтернативные варианты требуют действий, которые недоступны большинству пользователей.