CISA повышает оценку уязвимости macOS Screen Sharing до 9,8 после атак с майнингом Monero

CISA повысила оценку серьезности уязвимости macOS Screen Sharing до критической отметки 9,8 из 10 в пятницу.

Нидерландские следователи сообщили о том, что злоумышленники получили root-доступ к Mac-компьютерам, подключенным к интернету, и тихо установили программное обеспечение для майнинга Monero.

От 7.1 до 9.8 за неделю

Когда Apple выпустила свое исправление, CISA указывала для этого бага, отслеживаемого как CVE-2026-65400, оценку 7,1 в Национальной базе данных уязвимостей. Агентство изменило ее на 9,8, что близко к верхней границе шкалы CVSS.

Национальный центр кибербезопасности Нидерландов предпринял аналогичный подход. Обновление от 12 августа пересмотрело первоначальное уведомление, указав, что в обращении находится публичный код proof-of-concept и что подтверждено активное использование уязвимости.

По состоянию на пятницу уязвимость не была включена в федеральный каталог известных уязвимостей, эксплуатируемых в атаках, который ведет Агентство по кибербезопасности и инфраструктурной безопасности (CISA). Собственная запись CVE от Apple в нидерландском агентстве все еще имела старую оценку 7,1.

Уязвимость связана с тем, как Screen Sharing обрабатывает аутентификацию. Компания по кибербезопасности Huntress проследила ее до ошибки в использовании протокола Secure Remote Password службой, который используется для проверки личности пользователя перед предоставлением доступа.

Huntress утверждает, что практический эффект заключается в том, что Mac считает, что посторонний уже вошел в систему. Сбой происходит до любой проверки пароля. Сброс или удаление паролей Screen Sharing не закрывает доступ.

«Любой, кто использует функциональность Apple Screen Sharing на любой поддерживаемой версии macOS, должен немедленно применить последние обновления безопасности», — написал исследователь Huntress Райан Дауд.

Apple выпустила это исправление в macOS Tahoe 26.6.1, Sequoia 15.7.9 и Sonoma 14.8.9 6 августа.

Десятки тысяч арендованных Mac находятся в зоне риска

NCSC обнаружил, что машины жертв были полностью скомпрометированы. В каждом из рассмотренных исследователями случаев злоумышленник получал доступ к системе через порт 5900 — порт Screen Sharing по умолчанию, который оставался открытым для интернета.

Затем они повысили привилегии до root и развернули майнер криптовалюты Monero (XMR). Нидерландское агентство не сообщило количество затронутых систем и не назвало подозреваемого.

Screen Sharing отключен по умолчанию. Однако это стандартный инструмент для работы с «голым железом» (bare-metal) Mac, то есть физическим оборудованием Apple, которое арендуется и используется в удаленных центрах обработки данных, где сосредоточена большая часть рисков.

С помощью инструмента сканирования интернета Censys Дауд заявил, что нашел «десятки тысяч потенциально уязвимых хостов». Многие, по словам Huntress, — это машины, арендованные почасово у хостинг-провайдеров.

Cryptopolitan сообщал о вредоносной программе Reaper, которая захватывает Script Editor для опустошения кошельков, и поддельных постах по устранению неполадок macOS, которые побуждают жертв вставлять вредоносные команды в Terminal.

Криптоджекинг, кража вычислительных мощностей для превращения их в монеты, давно является сферой деятельности Monero. В отличие от специализированных установок, монеты Monero можно майнить на обычных процессорах, а их транзакции приватны по своей природе.

Доход с одного захваченного Mac невелик. В понедельник цена оценивала около 432 XMR, добываемых в день сетью Monero, примерно в 179 000 долларов, распределенных между всеми майнерами. XMR торговался по цене 413,47 доллара в понедельник, что на 0,9% выше показателя за 24 часа.