Apple corregge una falla di macOS sfruttata per installare un miner Monero
Se usi un Mac, controlla subito gli aggiornamenti di sistema. La falla riguarda Screen Sharing, la funzione integrata di accesso remoto di macOS, e può consentire a un attaccante di entrare nel dispositivo senza credenziali valide. Se non ti serve la condivisione schermo, disattivala immediatamente fino all’installazione dell’aggiornamento.
La segnalazione arriva dopo l’emersione di exploit pubblici e indica che alcuni sistemi esposti su Internet sono già stati colpiti. In particolare, le campagne osservate hanno portato all’accesso con privilegi elevati e al posizionamento di un miner di Monero, segnale tipico di un attacco orientato al guadagno illecito attraverso il consumo delle risorse del computer.
La vulnerabilità è identificata come CVE-2026-65400 e interessa il componente Screen Sharing di macOS, la funzione di desktop remoto che utilizza il protocollo VNC sulla porta TCP 5900. Apple ha corretto il problema con gli aggiornamenti rilasciati il 6 agosto per le versioni supportate del sistema operativo.
Perché questa falla è pericolosa
Screen Sharing permette di controllare un Mac a distanza, vedere il desktop e usare tastiera e mouse come se si fosse davanti al computer. Quando questo servizio è esposto e presenta un difetto di autenticazione, un attaccante può tentare di aggirare l’accesso, raggiungere il sistema e poi compiere azioni molto più invasive.
Secondo le informazioni disponibili, il rischio non si limita all’accesso iniziale. Una volta dentro, l’aggressore potrebbe aprire applicazioni, leggere o modificare file, cambiare impostazioni di sicurezza e, nei casi più gravi, ottenere il controllo completo del sistema.
Cosa è stato osservato negli attacchi
Le segnalazioni indicano che l’abuso è avvenuto soprattutto su Mac con porta 5900 esposta su Internet. Questo dettaglio è importante perché rende più facile la scansione automatica dei bersagli e accelera i tentativi di intrusione.
Nel caso riportato, l’attaccante avrebbe ottenuto accesso root e installato un miner Monero. Questo tipo di malware non è progettato per distruggere il sistema, ma per sfruttare CPU e GPU della vittima e generare criptovaluta a vantaggio dell’aggressore.
Versioni da aggiornare subito
Apple indica che la correzione è disponibile nelle seguenti release:
- macOS Tahoe 26.6.1
- macOS Sequoia 15.7.9
- macOS Sonoma 14.8.9
L’aggiornamento migliora la gestione dello stato di autenticazione, così da impedire tentativi fraudolenti di accesso a Screen Sharing.
Cosa fare adesso
Se il tuo Mac è aggiornabile, la priorità è installare subito la versione corretta del sistema operativo. Se l’update non è immediatamente possibile, conviene ridurre l’esposizione del dispositivo seguendo alcuni passaggi pratici.
- Aggiorna macOS alla versione più recente disponibile per il tuo modello.
- Disattiva Screen Sharing se non lo usi: vai in Impostazioni di Sistema → Generali → Condivisione → Screen Sharing.
- Verifica che la porta 5900 non sia esposta verso Internet su reti domestiche o aziendali.
- Controlla attività anomale del Mac, come rallentamenti improvvisi, uso elevato della CPU o ventole sempre attive.
- Limita i servizi di accesso remoto ai soli casi realmente necessari.
Perché i Mac non sono immuni
La popolarità di macOS ha reso i dispositivi Apple obiettivi sempre più interessanti per chi sviluppa malware e sfrutta vulnerabilità. Anche una funzione integrata e legittima, se configurata in modo troppo aperto, può diventare un punto d’ingresso efficace per un attacco.
In questo caso il problema è amplificato da due fattori: la disponibilità di codice di exploit e la presenza di sistemi con Screen Sharing raggiungibile da Internet. Quando questi elementi si combinano, il tempo tra scoperta, sfruttamento e compromissione può diventare molto breve.
Cosa significa per utenti domestici e aziende
Per gli utenti privati, la lezione principale è semplice: non lasciare attivi servizi remoti che non usi. Anche se il Mac è protetto da password, un difetto nel meccanismo di autenticazione può annullare la protezione prevista.
Per aziende e amministratori IT, il caso rafforza la necessità di controllare i servizi esposti, applicare patch rapidamente e monitorare le macchine che offrono accesso remoto. Le postazioni con TCP 5900 aperta dovrebbero essere trattate come prioritarie.
Technical Deep Dive
CVE-2026-65400 colpisce il servizio Screen Sharing di macOS, implementazione del desktop remoto che si basa su VNC e opera tipicamente sulla porta 5900/TCP. Il difetto è descritto come un problema di autenticazione risolto da Apple con un miglioramento della state management, cioè della logica che controlla in quale fase del processo di login si trova la sessione. Una gestione errata di questo stato può far risultare valida una richiesta che in realtà non ha completato correttamente l’autenticazione.
La criticità del bug è alta perché si colloca nella fase pre-auth o di autenticazione iniziale: se un attaccante riesce a superare questo punto, ottiene un canale di controllo verso funzioni amministrative del sistema. A quel punto l’impatto potenziale include lettura e modifica dei file, apertura remota di applicazioni, cambi alle impostazioni di sicurezza e, nei casi riportati, acquisizione di privilegi di root e deployment di criptominer.
La combinazione tra servizio esposto, exploit pubblico e accesso remoto senza credenziali spiega la rapidità con cui il difetto è stato sfruttato. In ambienti esposti, gli aggressori possono automatizzare la scansione della porta 5900, verificare la presenza di Screen Sharing attivo e tentare l’abuso su larga scala. Per questo la mitigazione più efficace resta una difesa a più livelli: patch immediata, chiusura dei servizi non necessari, restrizione dell’accesso alle sole reti fidate e monitoraggio continuo dei sistemi che offrono funzionalità di controllo remoto.
