CISA ricalifica la vulnerabilità di Screen Sharing di macOS a 9.8 dopo gli attacchi di mining di Monero

CISA ha aggiornato il punteggio di gravità per una vulnerabilità di Screen Sharing di macOS a un livello critico di 9,8 su 10 venerdì.

Gli investigatori olandesi hanno segnalato attaccanti che hanno ottenuto il controllo root di Mac esposti a Internet e caricato silenziosamente software di mining di Monero.

Da 7.1 a 9.8 in una settimana

Quando Apple ha rilasciato la sua correzione, CISA elencava il bug, identificato come CVE-2026-65400, a 7,1 nel National Vulnerability Database. L'agenzia lo ha modificato a 9,8, vicino alla cima della scala CVSS.

Il Centro Nazionale per la Sicurezza Cibernetica dei Paesi Bassi ha adottato un approccio simile. Un aggiornamento del 12 agosto ha revisionato un avviso iniziale per affermare che il codice proof-of-concept pubblico era in circolazione e che l'abuso attivo era stato confermato.

A venerdì, la vulnerabilità non era stata inclusa in un catalogo federale delle vulnerabilità attaccate note mantenuto dall'Agency for Cybersecurity and Infrastructure Security. Il record CVE di Apple con l'agenzia olandese aveva ancora la vecchia valutazione di 7,1.

La vulnerabilità è dovuta al modo in cui Screen Sharing gestisce l'autenticazione. L'azienda di sicurezza Huntress l'ha ricondotta a un difetto nell'uso del servizio di Secure Remote Password, il protocollo utilizzato per verificare l'identità di un utente prima di concedere l'accesso.

Huntress afferma che l'effetto pratico è che il Mac pensa che l'estraneo abbia già effettuato l'accesso. Il malfunzionamento si verifica prima di qualsiasi verifica della password. La reimpostazione o l'eliminazione delle password di Screen Sharing non chiude la porta.

"Chiunque utilizzi la funzionalità Screen Sharing di Apple su qualsiasi versione supportata di macOS deve applicare immediatamente gli aggiornamenti di sicurezza più recenti", ha scritto il ricercatore di Huntress Ryan Dowd.

Apple ha rilasciato quella correzione in macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9 il 6 agosto.

Decine di migliaia di Mac in affitto a portata di mano

La NCSC ha riscontrato che le macchine delle vittime erano completamente compromesse. In ogni caso esaminato dai ricercatori, l'attaccante ha accesso al sistema tramite la porta 5900, la porta predefinita di Screen Sharing che rimaneva esposta a Internet.

Hanno poi escalato ai privilegi di root e hanno distribuito un miner di criptovalute Monero (XMR). L'agenzia olandese non ha fornito il numero di sistemi interessati né ha nominato un sospetto.

Screen Sharing è disabilitato per impostazione predefinita. Tuttavia, è uno strumento standard per lavorare con Mac "bare-metal", che sono hardware Apple fisico noleggiato ed eseguito all'interno di data center remoti, dove è concentrata gran parte dell'esposizione.

Con lo strumento di scansione di Internet Censys, Dowd ha dichiarato di aver trovato "decine di migliaia di host potenzialmente vulnerabili". Molti, secondo Huntress, sono macchine noleggiate a ore da servizi di hosting.

Cryptopolitan ha riportato sul malware Reaper che dirotta Script Editor per svuotare i portafogli e sui post falsi di risoluzione dei problemi di macOS che portano le vittime a incollare comali Terminal dannosi.

Il cryptojacking, il furto di potenza di calcolo per trasformarla in monete, è da tempo un'attività di Monero. A differenza dei rig specializzati, le monete Monero possono essere estruite su CPU normali e le sue transazioni sono private per progettazione.

Il rendimento per ogni Mac dirottato è piccolo. Il prezzo di lunedì valutava i circa 432 XMR coniati al giorno dalla rete Monero a ~179.000 dollari, distribuiti tra tutti i miner. XMR era scambiato a 413,47 dollari lunedì, in aumento di circa lo 0,9% nelle ultime 24 ore.