CISA تعيد تصنيف ثغرة مشاركة الشاشة على macOS إلى 9.8 بعد هجمات تعدين Monero

ترقية CISA درجة الخطورة لثغرة مشاركة الشاشة على macOS إلى 9.8 حرجة من 10 يوم الجمعة.

أبلغ المحققون الهولنديون عن وصول المهاجمين إلى تحكم الجذر في أجهزة Mac المكشوفة للإنترنت وتحميل برمجيات تعدين Monero بهدوء.

من 7.1 إلى 9.8 في أسبوع

عندما أرسلت أبل إصلاحها، سردت CISA الخطأ، الذي تم تتبعه كـ CVE-2026-65400، بدرجة 7.1 في قاعدة البيانات الوطنية للثغرات الأمنية. غيرت الوكالة درجتها إلى 9.8، بالقرب من قمة مقياس CVSS.

اتخذ المركز الوطني للأمن السيبراني في هولندا نهجًا مشابهًا. حدّث في 12 أغسطس نصيحة أولية ليقول إن كود إثبات المفهوم العام كان متداولًا وأن الإساءة النشطة قد تم تأكيدها.

بحلول يوم الجمعة، لم تكن الثغرة مدرجة بعد في فهرس اتحادي للثغرات الأمنية المعروفة التي تم استهدافها والتي تحافظ عليها وكالة أمن البنية التحتية والأمن السيبراني. كان سجل CVE الخاص بأبل مع الوكالة الهولندية لا يزال يحمل التقييم الأقدم 7.1.

يعود سبب الثغرة الأمنية إلى طريقة تعامل ميزة مشاركة الشاشة مع المصادقة. وقد تتبع فريق الأمن السيبراني "هانتريس" (Huntress) الثغرة إلى عيب في استخدام الخدمة لبروتوكول "كلمة المرور الآمنة عن بُعد" (Secure Remote Password)، وهو البروتوكول المستخدم للتحقق من هوية المستخدم قبل منح الوصول.

تقول "هانتريس" إن الأثر العملي لذلك هو أن جهاز ماك يعتقد أن الشخص الخارجي قد قام بتسجيل الدخول بالفعل. يحدث هذا الفشل قبل أي تحقق من كلمة المرور. ولا يؤدي إعادة تعيين أو حذف كلمات مرور مشاركة الشاشة إلى إغلاق الباب أمام المتسللين.

كتب الباحث في "هانتريس" رايان دود: "يجب على أي شخص يستفيد من ميزة مشاركة الشاشة الخاصة بأبل على أي إصدار مدعوم من نظام macOS تطبيق أحدث التحديثات الأمنية على الفور".

قدمت أبل هذا الإصلاح في إصدارات macOS Tahoe 26.6.1، وSequoia 15.7.9، وSonoma 14.8.9 في السادس من أغسطس.

عشرات الآلاف من أجهزة ماك المستأجرة في نطاق الوصول

وجد NCSC أن آلات الضحايا كانت مخترقة تمامًا. في كل حالة فحصها الباحثون، دخل المهاجم النظام عبر المنفذ 5900، وهو منفذ مشاركة الشاشة الافتراضي الذي بقي مكشوفًا للإنترنت.

ثم ارتقوا إلى امتيازات الجذر (root privileges) ونشروا معدّن عملة مونيرو (XMR) المشفرة. ولم تقدم الوكالة الهولندية عدد الأنظمة المتأثرة أو اسم المشتبه به.

ميزة مشاركة الشاشة معطلة افتراضياً. ومع ذلك، فهي أداة قياسية للعمل مع أجهزة "ماك الصلبة" (bare-metal)، وهي أجهزة أبل المادية المستأجرة والمُدارة داخل مراكز بيانات عن بُعد، حيث تتركز معظم نقاط التعرض للخطر.

وقال دود إنه باستخدام أداة مسح الإنترنت Censys، وجد "عشرات الآلاف من المضيفين المحتملين المعرضين للخطر". وتقول "هانتريس" إن العديد منها هي آلات مستأجرة بالساعة من خدمات الاستضافة.

أفادت Cryptopolitan ب عن برمجية Reaper الخبيثة التي تستولي على Script Editor لتصريف المحافظ والمقالات الخادعة لإصلاح macOS التي تقود الضحايا إلى لصق أوامر Terminal خبيثة.

لطالما كان التعدين المشفر (Cryptojacking)، أي سرقة قوة الحوسبة لتحويلها إلى عملات رقمية، نشاطاً خاصاً بعملة مونيرو. وعلى عكس الأجهزة المتخصصة، يمكن تعدين عملات مونيرو على معالجات الحواسيب العادية (CPUs)، ومعاملاتها خاصة بطبيعتها.

العائد من كل ماك محتجز صغير. وفي يوم الاثنين، قُدرت قيمة حوالي 432 عملة XMR التي ينقذها شبكة مونيرو يومياً بحوالي 179,000 دولار، موزعة على جميع المعدنين. وتداولت عملة XMR عند 413.47 دولار يوم الاثنين، بزيادة قدرها حوالي 0.9% على مدار 24 ساعة.