Aggiorna subito il Mac o disattiva Screen Sharing

Apple ha corretto una vulnerabilità critica che può consentire a un attaccante remoto di compromettere un Mac senza credenziali valide. Il rischio è massimo sui sistemi con Screen Sharing esposto su Internet, quindi l’azione più rapida è installare gli aggiornamenti oppure spegnere completamente la funzione finché non viene messa in sicurezza.

La falla interessa le versioni macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9, rilasciate il 6 agosto per chiudere il problema. Se gestisci più Mac, conviene dare priorità ai dispositivi accessibili da remoto, ai sistemi di lavoro condivisi e alle macchine usate per amministrazione remota.

Cosa è successo

La vulnerabilità, identificata come CVE-2026-65400, riguarda il componente Screen Sharing di macOS. In pratica, un aggressore remoto potrebbe sfruttare un errore di autenticazione per eseguire codice arbitrario e leggere o modificare file con privilegi elevati. Questo tipo di difetto è particolarmente pericoloso perché non richiede un account macOS valido per essere attivato.

Il problema è ancora più serio quando la condivisione schermo è accessibile dalla rete pubblica. In uno scenario del genere, un aggressore può tentare l’attacco da qualsiasi posizione, senza dover prima compromettere un utente interno o ottenere una password locale.

Perché è una falla così grave

La criticità non riguarda solo l’accesso iniziale, ma anche ciò che accade dopo. Il flusso compromesso coinvolge componenti privilegiati che possono operare con diritti di sistema, amplificando l’impatto dell’attacco. In altre parole, non si tratta solo di entrare in una sessione remota: il rischio include anche furto di dati, manipolazione di file e possibile esecuzione di codice con privilegi root.

Su un Mac, un accesso root può avere conseguenze molto estese. Un attaccante potrebbe installare persistenza, alterare configurazioni, raccogliere dati sensibili o preparare il sistema per ulteriori compromissioni. Per questo motivo, una vulnerabilità di questo tipo va trattata come un’emergenza operativa, non come un aggiornamento ordinario.

Differenza rispetto al problema precedente

Questa nuova falla arriva poco dopo un altro bug collegato a Screen Sharing, ma le due situazioni non sono identiche. Il difetto precedente richiedeva una forma di autenticazione tramite VNC legacy e sfruttava un abuso del contesto privilegiato. La nuova vulnerabilità, invece, è più pericolosa perché elimina quel requisito: l’attaccante non ha bisogno né di un account macOS legittimo né della vecchia password VNC.

Questo cambiamento alza notevolmente il livello di rischio. Quando una vulnerabilità è pre-authentication, cioè sfruttabile prima dell’autenticazione, le difese basate su credenziali o autorizzazioni esistenti diventano molto meno efficaci.

Cosa devono fare gli utenti comuni

Se usi un Mac a casa o in ufficio, la regola è semplice: aggiorna il sistema subito. Se non puoi farlo immediatamente, disattiva Screen Sharing fino a quando il dispositivo non è stato corretto.

Ecco le azioni più utili da fare adesso:

• Installa l’aggiornamento disponibile per la tua versione di macOS.
• Disattiva Screen Sharing se non è indispensabile.
• Controlla che il servizio non sia esposto direttamente a Internet.
• Verifica se il Mac è usato per amministrazione remota o accesso da fuori sede.
• Evita di affidarti solo alle password VNC come misura di sicurezza.

Se il Mac è usato da più persone o gestisce informazioni sensibili, l’aggiornamento non dovrebbe essere rimandato. In questo caso, il tempo di esposizione conta più della comodità operativa.

Cosa devono fare i team IT

Per ambienti aziendali o gestiti, la priorità è l’inventario: bisogna capire quali Mac sono in servizio, quali sono raggiungibili dall’esterno e quali hanno servizi di amministrazione remota attivi. I sistemi esposti al pubblico, gli host appena configurati e le macchine su infrastrutture ospitate meritano attenzione immediata.

Le misure operative più importanti sono:

• Applicare le versioni corrette di macOS il prima possibile.
• Disabilitare Screen Sharing sui sistemi non essenziali.
• Limitare l’accesso di rete solo agli indirizzi autorizzati.
• Monitorare i log e gli eventi di sicurezza per individuare connessioni anomale.
• Verificare la presenza di attività sospette su file di sistema e processi legati alla condivisione schermo.

Se non è possibile patchare subito, il controllo di rete diventa la misura di contenimento più importante. Bloccare l’esposizione verso Internet riduce drasticamente la superficie d’attacco.

Segnali da monitorare

Chi gestisce la sicurezza dei dispositivi dovrebbe cercare eventi insoliti legati alla sessione di Screen Sharing. Un accesso malevolo potrebbe mostrare parametri anomali nell’autenticazione, come username di sessione inattesi o una sequenza di processi che coinvolge componenti di copia file eseguiti con privilegi elevati.

Anche attività come enumerazione insolita del filesystem, letture di file non coerenti con l’uso normale o la comparsa di processi avviati dal servizio di condivisione schermo possono essere indicatori utili. In un incidente reale, questi dettagli possono fare la differenza tra bloccare l’attacco in tempo e trovarsi con un compromesso già avanzato.

Impatto sulla sicurezza dei dati

Uno degli aspetti più delicati di questa vulnerabilità è il possibile accesso a file protetti dal sistema. Quando un componente privilegiato può operare con permessi elevati, la protezione standard dei dati perde efficacia. Questo significa che informazioni personali, documenti aziendali, chiavi di configurazione e materiali sensibili possono diventare raggiungibili anche quando le impostazioni di privacy sembrano corrette.

Per questo motivo, l’aggiornamento non serve solo a prevenire un attacco “teorico”. Serve anche a preservare la separazione tra utenti, processi e risorse che macOS normalmente cerca di imporre.

Perché non basta cambiare le credenziali

Una reazione comune, quando si parla di servizi remoti, è cambiare password o rimuovere utenti autorizzati. In questo caso, però, la misura non è sufficiente da sola. Se l’attacco avviene prima della normale autenticazione, la sostituzione delle credenziali non elimina il vettore di sfruttamento.

Questo è il punto più importante da tenere a mente: la difesa efficace non è solo amministrativa, ma deve essere anche tecnica. Serve una correzione del software oppure la disattivazione del servizio vulnerabile.

Perché questa vulnerabilità richiede una risposta immediata

Le vulnerabilità che permettono accesso remoto non autorizzato sono sempre sensibili, ma diventano particolarmente urgenti quando interessano componenti abilitati di default o facilmente esposti. Screen Sharing è utile in molti ambienti, ma se resta attivo senza una configurazione restrittiva può trasformarsi in un punto d’ingresso ad alto rischio.

In questo caso, l’azione corretta è semplice e netta: patchare subito i sistemi supportati oppure chiudere il servizio dove non è necessario. Rimandare espone il dispositivo a scenari di compromissione completi, non solo a un accesso parziale.

Technical Deep Dive

CVE-2026-65400 colpisce il flusso di autenticazione di screensharingd, il daemon che gestisce Screen Sharing in macOS. Il problema è legato alla gestione dell’autenticazione Secure Remote Password (SRP): una validazione errata della lunghezza di un frame può lasciare il servizio in uno stato di successo obsoleto, facendo trattare una connessione non autenticata come se fosse valida.

A livello pratico, questo significa che il controllo di accesso fallisce in una fase precedente alla normale protezione della sessione. Quando la connessione viene accettata senza una reale autenticazione, l’aggressore può raggiungere funzioni privilegiate del servizio e sfruttare i helper SSFileCopySender e SSFileCopyReceiver.

Il punto critico è che, nel percorso vulnerabile, SSFileCopySender può operare con privilegi di root e con l’entitlement privato kTCCServiceSystemPolicyAllFiles, che consente l’accesso a tutti i file aggirando le protezioni di Transparency, Consent and Control (TCC). In termini di sicurezza, questo annulla una parte importante del modello di autorizzazione di macOS, perché il servizio può vedere e trasferire file anche quando le normali policy di privacy lo impedirebbero.

Un dettaglio essenziale per i difensori è che la mitigazione basata sulla sola configurazione non basta. Rimuovere utenti autorizzati, disabilitare l’autenticazione VNC legacy o ruotare le credenziali non impedisce lo sfruttamento, perché il difetto viene attivato prima del completamento dell’autenticazione. La riduzione del rischio richiede quindi una vera correzione del prodotto oppure la disattivazione completa del servizio.

Dal punto di vista della telemetria, i team SOC dovrebbero cercare eventi di Endpoint Security coerenti con una sessione sospetta di Screen Sharing, soprattutto dove compaiano autenticazioni non usuali o processi figli generati dal bundle di screensharingd. Anche la comparsa di attività filesystem atipiche subito dopo l’avvio del servizio può indicare un tentativo di sfruttamento o una fase successiva di esfiltrazione dati.

In scenari più avanzati, la compromissione iniziale può essere estesa con persistenza tramite LaunchDaemons o file di avvio della shell modificati. Questo rende particolarmente importante la correlazione tra eventi di autenticazione, avvio processo e attività su file sensibili. Su sistemi esposti all’esterno, il tempo di rilevamento è il fattore decisivo: più a lungo il servizio resta accessibile, maggiore è la probabilità di compromettere il Mac in modo completo.

Fonte: https://gbhackers.com/critical-macos-rce-vulnerability/