Atores de ameaça estão explorando uma vulnerabilidade do macOS corrigida recentemente para obter acesso root e implantar mineradores de criptomoedas.
A falha explorada, rastreada como CVE-2026-65400 (Vulnerabilidades e Exposições Comuns), é um problema de autenticação de alta severidade no Compartilhamento de Tela que permite que atacantes remotos façam login sem credenciais válidas.
A Apple divulgou a falha em 6 de agosto, quando lançou correções no macOS Tahoe 26.6.1, no macOS Sequoia 15.7.9 e no macOS Sonoma 14.8.9.
Aproximadamente uma semana depois, o Centro Nacional de Segurança Cibernética da Holanda (NCSC) alertou que a exploração em ambiente real havia começado, impulsionada pela existência de um exploit de prova de conceito (PoC) público.
"O NCSC recebeu uma notificação mostrando que o abuso ativo desta vulnerabilidade foi observado em vários sistemas nos quais a porta 5900 estava acessível pela internet", afirma o NCSC.
Atores de ameaça têm explorado o defeito de segurança para obter acesso root aos sistemas vulneráveis e instalar um minerador de Monero, segundo o órgão.
"A Apple aprimorou os mecanismos de gerenciamento de estado para impor a validação correta das credenciais de login e impedir tentativas de autenticação não autorizadas", observa o NCSC.
Segundo a empresa de segurança de inteligência artificial Calif, a falha permite que um atacante remoto se autentique em um sistema macOS que tenha o Compartilhamento de Tela habilitado simplesmente nomeando uma conta.
"Nomear uma conta é a única coisa que o bug precisa. Não é uma grande barreira. Um nome de usuário não é um segredo, e o macOS os exibe na janela de login", observa a Calif.
O CVE-2026-65400, no entanto, não é a única vulnerabilidade corrigida recentemente no screensharingd, o daemon responsável por gerenciar conexões de Compartilhamento de Tela.
No final de julho, a Apple corrigiu pelo menos outras quatro falhas nele, incluindo três que possuem identificadores CVE. Segundo relatos, a quarta, que foi corrigida silenciosamente, era a mais grave delas, pois permitia que atacantes não autenticados obtivessem execução remota de código (RCE) como root.
De acordo com o pesquisador de segurança osxreverser, a falha poderia ser explorada para assumir o controle de qualquer macOS com o Compartilhamento de Tela habilitado, desde que o atacante soubesse seu endereço de IP (Protocolo de Internet) e o SIP (Proteção de Integridade do Sistema) estivesse desativado.
A falha segundo relatos não exigia interação do usuário e poderia permitir que um atacante plantasse um reverse shell e um crontab de root pela mesma conexão.
Em 8 de agosto, o osxreverser alertou que aproximadamente 40 mil sistemas macOS acessíveis pela internet tinham o Compartilhamento de Tela habilitado, o que significa que estavam potencialmente expostos a ataques.
