CISAは金曜日、macOS画面共有の脆弱性に対する重大度スコアを、10点満点中の9.8という深刻な数値に引き上げた。

オランダの調査当局は、インターネットに公開されたMacのルート制御を攻撃者が獲得し、Moneroマイニングソフトウェアを静かにインストールしたと報告した。

⟦N1⟧から⟦N2⟧へ、1週間で

7.1から9.8へ、1週間で

オランダのナショナル・サイバーセキュリティセンターも同様のアプローチを取った。8月12日の更新では、初期勧告が改訂され、公開された概念実証コードが流通しており、アクティブな悪用が確認されたと述べられた。

金曜日現在、この脆弱性は、サイバーセキュリティ・インフラストラクチャ・セキュリティ・エージェントが維持する既知の攻撃対象脆弱性の連邦カタログに含まれていなかった。オランダの機関とのAppleのCVE記録には、古い7.1の評価がまだ残っていた。

この脆弱性は、画面共有が認証を処理する方法に起因する。セキュリティ企業のHuntressは、これを、アクセスを付与する前にユーザーの身元を確認するために使用されるプロトコルであるSecure Remote Passwordのサービス使用における欠陥に遡及した。

Huntressによると、実質的な効果は、Macが外部者がすでにサインインしたと考えることにある。この失敗は、パスワード検証の以前に発生する。画面共有のパスワードをリセットまたは削除しても、扉は閉まらない。

「サポートされているmacOSバージョンのいずれかでAppleの画面共有機能を利用する者は、最新のセキュリティアップデートを直ちに適用する必要がある」と、Huntressの研究者Ryan Dowdは書いた。

Appleは8月6日、macOS Tahoe 26.6.1、Sequoia 15.7.9、およびSonoma 14.8.9でその修正プログラムを提供した。

数万台のレンタルMacが範囲内

その後、攻撃者はルート権限をエスカレートさせ、Monero（XMR）暗号通貨マイナーを展開した。オランダの機関は、影響を受けたシステムの数や容疑者の名前は明らかにしなかった。

NCSCは、被害者のマシンが完全に侵害されたと見なした。研究者が調査した各ケースにおいて、攻撃者はポート5900（デフォルトの画面共有ポートで、インターネットに公開されたままになっていた）を介してシステムにアクセスした。

画面共有はデフォルトで無効になっている。しかし、それは「ベアメタル」Mac、つまりリモートデータセンター内でレンタルされ実行される物理的なAppleハードウェアと作業するための標準的なツールであり、多くの暴露が集中している。

Dowd氏は、インターネットスキャンツールCensysを使用して、「数万台の潜在的に脆弱なホスト」を見つけたと述べた。Huntress氏によると、その多くはホスティングサービスから時間単位でレンタルされたマシンである。

暗号ジャッキング（計算力を盗んでコインに変えること）は、Moneroにとって長年の活動であった。専門的なラックとは異なり、Moneroのコインは通常のCPUでマイニングでき、その取引は設計上プライベートである。

Cryptopolitan は、Script Editorを乗っ取ってウォレットから資金を奪うReaperマルウェアと、被害者が悪意のあるTerminalコマンドを貼り付けるように仕向ける偽のmacOSトラブルシューティング投稿について報じた。

ハイジャックされたMacあたりの収益は小さい。月曜日の価格では、Moneroネットワークが1日にミントする約432 XMRは、すべてのマイナーに分配されて約17万9,000ドルと評価された。XMRは月曜日に413.47ドルで取引され、24時間で約0.9%上昇した。

CISAは、攻撃者が公開されたMacにルート権限を取得しMoneroマイナーをインストールした後、macOS画面共有の脆弱性CVE-2026-65400を7.1から深刻な9.8に引き上げた。