CVE-2026-65400 betrifft Screen Sharing unter macOS. Laut Apple wurde die Schwachstelle durch Verbesserungen an den Zustandsverwaltungsmechanismen behoben, damit Anmeldedaten korrekt geprüft und unautorisierte Authentifizierungsversuche verhindert werden. Die Lücke erlaubt es entfernten Angreifern, sich ohne gültige Zugangsdaten anzumelden.
Das niederländische NCSC meldet, es habe eine Benachrichtigung erhalten, aus der hervorgehe, dass die Schwachstelle auf mehreren Systemen aktiv missbraucht wurde, bei denen Port 5900 aus dem Internet erreichbar war. Nach diesen Angaben nutzten die Angreifer den Fehler, um Root-Rechte auf verwundbaren Systemen zu erlangen und anschließend einen Monero-Miner zu installieren.
Nach Einschätzung des auf KI-Sicherheit spezialisierten Unternehmens Calif reicht es für die Ausnutzung aus, ein vorhandenes Konto zu benennen, sofern Screen Sharing auf dem macOS-System aktiviert ist. Calif betont, ein Benutzername sei kein Geheimnis und werde von macOS sogar im Anmeldefenster angezeigt. Die Hürde für einen Angriff sei daher gering.
CVE-2026-65400 ist zudem nicht die einzige jüngst geschlossene Schwachstelle in screensharingd, dem Daemon zur Verwaltung von Screen-Sharing-Verbindungen. Ende Juli hat Apple dort mindestens vier weitere Probleme behoben, darunter drei mit CVE-Kennung. Berichten zufolge war die vierte, stillschweigend beseitigte Schwachstelle die schwerwiegendste, weil sie nicht authentifizierten Angreifern Remotecodeausführung mit Root-Rechten ermöglichte.
Der Sicherheitsforscher osxreverser erklärte dazu, diese weitere Schwachstelle habe sich zur Übernahme praktisch jedes macOS-Systems mit aktiviertem Screen Sharing ausnutzen lassen, sofern dem Angreifer die IP-Adresse bekannt war und SIP deaktiviert war. Dem Bericht zufolge war dafür keine Nutzerinteraktion nötig; über dieselbe Verbindung hätten sich eine Reverse Shell und ein Root-Crontab platzieren lassen.
Am 8. August warnte osxreverser außerdem, dass ungefähr 40.000 aus dem Internet erreichbare macOS-Systeme Screen Sharing aktiviert hatten und damit potenziell Angriffen ausgesetzt waren. Die aktuelle Warnung des NCSC zeigt nun, dass die Ausnutzung der von Apple gepatchten Authentifizierungslücke nicht nur theoretisch ist, sondern bereits auf realen Systemen beobachtet wurde.