Apple beschreibt CVE-2026-65400 als Authentifizierungsproblem, das durch verbesserte Zustandsverwaltung behoben worden sei. Die Aktualisierungen sollen die korrekte Prüfung von Zugangsdaten erzwingen und unbefugte Authentifizierungsversuche verhindern. Entdeckt und an Apple gemeldet wurde der Fehler laut Hersteller von dem Sicherheitsforscher Alfredo Pesoli von Bynario.
NCSC-NL teilte in einer Aktualisierung seines Hinweises mit, ein Bericht belege die aktive Ausnutzung der Schwachstelle auf mehreren Systemen, auf denen Port 5900 aus dem Internet zugänglich war. Nach Angaben der Behörde hatte in sämtlichen Fällen Root bereits Zugriff auf das betroffene System und dort einen Monero-Miner installiert.
Unklar ist weiterhin, wann diese Angriffe beobachtet wurden, wie groß ihr Umfang ist, ob CVE-2026-65400 als Zero-Day missbraucht wurde und ob die Aktivitäten über Kryptomining hinausgehen. Damit bleibt der bislang bestätigte Missbrauch auf die Installation eines Miners begrenzt.
Zusätzliche technische Informationen veröffentlichte Calif. Demnach gehört CVE-2026-65400 zu einer Reihe von Fehlern im Screen Sharing Server, die Apple mit macOS Tahoe 26.6 behoben hatte. Pesoli beschrieb in einer technischen Analyse nach Veröffentlichung der Patches zwar CVE-2026-43760 als Fehler nach erfolgreicher Anmeldung, der voraussetzt, dass auf dem Ziel-Mac Screen Sharing oder Remote Management aktiviert ist und „VNC-Betrachter dürfen den Bildschirm mit Passwort steuern“ konfiguriert wurde und der Angreifer dieses VNC-Passwort bereits kennt. Der Fehler liege in einem älteren Authentifizierungspfad der Bildschirmfreigabe mit VNC-Passwortzugang und mache aus einem Dateikopiervorgang das Offenlegen geschützter Dateien, das beliebige Anlegen von Root-Dateien und die ferngesteuerte Ausführung von Root-Befehlen.
Pesoli erklärte dazu, dass nach dem VNC-Authentifizierungsschritt eine Grenze überschritten werde, die das Passwort nie hätte überschreiten dürfen. Ein entfernter Betrachter könne dadurch macOS Screen Sharing veranlassen, geschützte Dateien als Root zu lesen. Umgekehrt könne der Betrachter vom Angreifer kontrollierte Dateien als Root anlegen. Diese zweite Primitive habe sein Team genutzt, um eine gültige Sudoers-Richtlinie zu installieren und so aus einem Dateikopiervorgang eine ferngesteuerte Root-Befehlsausführung oder eine lokale Rechteausweitung zu machen.
Davon zu unterscheiden ist laut dem unter dem Namen @osxreverser auftretenden Sicherheitsforscher eine Schwachstelle vor der Authentifizierung im Screen-Sharing-Daemon „screensharingd“. Sie ermögliche es, jeden Mac mit aktivierter Bildschirmfreigabe zu kompromittieren, ohne Passwort oder weitere Informationen zu kennen; nötig sei nur die IP-Adresse. Nach Darstellung des Forschers zeigte sein letzter Scan rund 40.000 offene Screen-Sharing-Hosts im Internet, fast die Hälfte davon in den USA. Die meisten seien Privatanschlüsse, daneben gebe es aber auch Systeme an Universitäten, in Unternehmen und einen Server der Firma hinter BBEdit.
Calif betonte, dass CVE-2026-65400 nicht mit der von @osxreverser beschriebenen Vorab-Authentifizierungslücke identisch ist. Diese zweite Schwachstelle wurde bereits in macOS 26.6 zusammen mit drei weiteren Fehlern beseitigt. Beide Probleme liegen Calif zufolge jedoch in derselben Quelldatei. Während @osxreversers Fehler auf einem einzelnen falschen Rückgabewert beruhe und CVE-2026-65400 eine Desynchronisierung der Zustandsmaschine sei, handele es sich bei beiden um Logikfehler. Laut Calif lässt sich für beide Vorab-Authentifizierungsfehler mit einem KI-Agenten leicht ein Exploit entwickeln; das Unternehmen habe innerhalb von vier Stunden funktionierende Exploits für beide Schwachstellen erstellt. Aus diesem Grund hält Calif weitere Details zu CVE-2026-65400 vorerst zurück, bis die Mehrheit der Nutzer ein Update installiert hat.