macOS ‘Screen Sharing’ 결함, 암호화폐 채굴에 악용

사람들이 Mac을 원격으로 제어할 수 있도록 설계된 기능이 공격자들의 침입 경로가 되었습니다.

네덜란드 국가 사이버 보안 센터(NCSC-NL)는 위협 행위자들이 최근 패치된 macOS 화면 공유 취약점을 악용하여 인터넷에 연결된 여러 시스템을 공격했다고 밝혔습니다. 보고된 각 사례에서 공격자는 루트 수준의 권한을 획득하고 Monero 암호화폐 채굴기를 설치했습니다.

CVE-2026-65400으로 추적되는 이 취약점은 원격 공격자가 인증을 우회하고 자격 증명 없이 화면 공유에 접근할 수 있게 합니다. Apple은 8월 6일 macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 및 macOS Sonoma 14.8.9에서 이 결함을 수정했습니다.

핵심 요약

• CVE-2026-65400은 화면 공유가 활성화된 Mac에서 공격자가 인증을 우회할 수 있도록 합니다.
• NCSC-NL은 포트 5900이 인터넷에 노출된 여러 시스템을 대상으로 이 결함이 악용되었다고 밝혔습니다.
• 공격자들은 루트 권한을 획득하고 Monero 암호화폐 채굴기를 설치한 것으로 보고되었습니다.
• 이 취약점은 8월 6일 이전에 출시된 macOS Tahoe, Sequoia 및 Sonoma 버전에 영향을 미칩니다.
• Mac 사용자는 즉시 업데이트하고 필요하지 않을 때는 화면 공유 기능을 비활성화해야 합니다.
• 이미 침해되었을 가능성이 있는 Mac은 업데이트 후에도 완전히 침해된 것으로 간주하고 처리해야 합니다.

macOS 화면 공유란 무엇입니까?

화면 공유는 Apple의 내장 원격 데스크톱 기능입니다. 이 기능이 활성화되면 다른 컴퓨터에 있는 사용자가 네트워크를 통해 Mac을 보고 제어할 수 있습니다.

Apple의 설명에 따르면, 화면 공유를 사용하여 파일을 열고 이동하고 닫을 수 있으며, 애플리케이션을 실행하고 원격 Mac을 재시동할 수 있습니다. 이 서비스는 일반적으로 Virtual Network Computing(VNC)과 관련된 Remote Framebuffer 프로토콜을 사용하며, 일반적으로 TCP 포트 5900에서 대기합니다.

화면 공유는 표준 Mac에서 기본적으로 활성화되어 있지 않습니다. 하지만 원격으로 관리되는 워크스테이션, 개발 시스템 및 호스팅된 Mac mini 또는 Mac Studio 서버에서는 활성화될 수 있습니다. 이러한 장치 중 일부는 의도적으로 인터넷을 통해 액세스할 수 있도록 설정되어 노출 위험이 크게 증가합니다.

CVE-2026-65400은 서비스의 인증에 영향을 미칩니다. Apple의 Sonoma 보안 권고에 따르면 회사는 상태 관리를 개선하여 이 문제를 해결했다고 밝혔습니다. Apple은 네트워크상의 공격자가 유효한 자격 증명 없이 화면 공유에 인증할 수 있다고 경고했습니다.