La CISA ha rivalutato la vulnerabilità di condivisione schermo di macOS portandola a 9.8 dopo gli attacchi di mining di Monero

Venerdì, la CISA ha innalzato il punteggio di gravità di una vulnerabilità di condivisione dello schermo di macOS a un livello critico di 9,8 su 10.

Gli investigatori olandesi hanno segnalato che alcuni hacker hanno ottenuto il controllo root di Mac esposti a Internet e hanno installato silenziosamente un software per il mining di Monero.

Da 7,1 a 9,8 in una settimana

Quando Apple ha rilasciato la sua patch correttiva, la CISA ha classificato il bug, traccome CVE-2026-65400, con un punteggio di 7.1 nel National Vulnerability Database. L'agenzia ha poi modificato il punteggio portandolo a 9.8, quasi al massimo della scala CVSS.

Il Centro nazionale olandese per la sicurezza informatica ha adottato un approccio simile. Un aggiornamento del 12 agosto ha rivisto un avviso iniziale, precisando che erano in circolazione codici proof-of-concept pubblici e che erano stati confermati abusi attivi.

A partire da venerdì, la falla non era stata inclusa nel catalogo federale delle vulnerabilità note sfruttate dagli attacchi, gestito dalla Cybersecurity and Infrastructure Security Agency (CISA). Il record CVE di Apple presso l'agenzia olandese riportava ancora la vecchia valutazione di 7.1.

La vulnerabilità è dovuta al modo in cui la Condivisione schermo gestisce l'autenticazione. L'azienda di sicurezza Huntress l' tracricondotta a una falla nell'utilizzo da parte del servizio di Secure Remote Password, il protocollo utilizzato per verificare l'dentdi un utente prima di concedere l'accesso.

Huntress afferma che, in pratica, il Mac pensa che l'utente esterno abbia già effettuato l'accesso. L'errore si verifica prima di qualsiasi verifica della password. Reimpostare o eliminare le password di Condivisione schermo non risolve il problema.

"Chiunque utilizzi la funzionalità di condivisione schermo di Apple su qualsiasi versione di macOS supportata deve applicare immediatamente gli aggiornamenti di sicurezza più recenti", ha scritto Ryan Dowd, ricercatore di Huntress.

Apple ha rilasciato questa correzione nelle versioni macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9 il 6 agosto.

Decine di migliaia di Mac noleggiati in zona

L' NCSC ha scoperto che i computer delle vittime erano completamente compromessi. In ogni caso esaminato dai ricercatori, l'attaccante ha avuto accesso al sistema tramite la porta 5900, la porta predefinita per la condivisione dello schermo, che rimaneva esposta a Internet.

Hanno quindi ottenuto i privilegi di root e installato un miner per la criptovaluta Monero (XMR). L'agenzia olandese non ha fornito il numero di sistemi interessati né ha indicato alcun sospetto.

La condivisione dello schermo è disabilitata per impostazione predefinita. Tuttavia, è uno strumento standard per lavorare con Mac "bare-metal", ovvero hardware Apple fisico noleggiato e utilizzato all'interno di data center remoti, dove si concentra la maggior parte dell'esposizione al rischio.

Grazie allo strumento di scansione internet Censys, Dowd ha dichiarato di aver trovato "decine di migliaia di host potenzialmente vulnerabili". Molti di questi, afferma Huntress, sono macchine noleggiate a ore da servizi di hosting.

Cryptopolitan ha segnalato il malware Reaper, che dirotta Script Editor per svuotare i portafogli digitali, e ha falsi post di risoluzione dei problemi di macOS che inducono le vittime a incollare comandi dannosi nel Terminale.

Il cryptojacking, ovvero il furto di potenza di calcolo per ricavarne criptovalute, è da tempo un'attività legata a Monero. A differenza delle piattaforme specializzate, le monete Monero possono essere minate con normali CPU e le transazioni sono private per impostazione predefinita.

Il guadagno per ogni Mac compromesso è esiguo. Il prezzo di lunedì valutava i circa 432 XMR coniati al giorno dalla rete Monero a circa 179.000 dollari, distribuiti tra tutti i miner. Lunedì XMR veniva scambiato a 413,47 dollari, in rialzo di circa lo 0,9% nelle 24 ore.