macOS “屏幕共享”漏洞被用于加密货币挖矿

一个旨在让人们远程控制 Mac 的功能已成为攻击者的切入点。

Netherlands’ National Cyber Security Centre (NCSC-NL) 表示，威胁行为者在多个可访问互联网的系统上利用了一个最近修复的 macOS Screen Sharing 漏洞。在每个报告的案例中，攻击者都获得了 root 级访问权限并安装了 Monero 加密货币挖矿软件。

该漏洞的跟踪编号为 CVE-2026-65400，可让远程攻击者绕过身份验证，在没有凭据的情况下访问 Screen Sharing。Apple 已于 8 月 6 日在 macOS Tahoe 26.6.1、macOS Sequoia 15.7.9 和 macOS Sonoma 14.8.9 中修复了该漏洞。

关键要点

• CVE-2026-65400 允许攻击者在启用了 Screen Sharing 的 Mac 上绕过身份验证
• NCSC-NL 表示，该漏洞已针对向互联网开放 5900 端口的多个系统被利用
• 据报道，攻击者获得了 root 访问权限并安装了 Monero 加密货币挖矿软件
• 该漏洞影响 8 月 6 日之前发布的 macOS Tahoe、Sequoia 和 Sonoma 版本
• Mac 用户应立即更新，并在不需要时禁用 Screen Sharing
• 可能已经被入侵的 Mac 即使在更新后，也应被视为已完全失陷

什么是 macOS Screen Sharing？

Screen Sharing 是 Apple 内置的远程桌面功能。启用后，它可以让另一台计算机上的人员通过网络查看和控制 Mac。

正如 Apple 解释的那样，Screen Sharing 可用于打开、移动和关闭文件，启动应用程序以及重新启动远程 Mac。该服务使用 Remote Framebuffer 协议（通常与 Virtual Network Computing 或 VNC 相关联），通常监听 TCP 端口 5900。

在标准的 Mac 上，Screen Sharing 默认不启用。但是，它可能会在远程管理的各个工作站、开发系统以及托管的 Mac mini 或 Mac Studio 服务器上被激活。其中一些设备被有意设置为可通过互联网访问，这大大增加了它们的暴露风险。

CVE-2026-65400 影响该服务的身份验证。Apple 的 Sonoma 安全公告表示，该公司通过改进状态管理解决了这一问题。Apple 警告说，网络上的攻击者可能能够在没有有效凭据的情况下通过 Screen Sharing 的身份验证。

漏洞如何绕过身份验证

该漏洞涉及 macOS 在 Screen Sharing 服务中对 Secure Remote Password 身份验证的实现。

一项技术分析发现，该服务在帧长度验证方面的一个错误可能会导致其返回过时的成功状态。因此，该服务可能会将未经身份验证的连接视为合法连接，并允许其在没有预期密码保护的情况下继续进行。