Secondo l'analisi tecnica principale disponibile — pubblicata da Huntress su TechTimes e basata su reverse-engineering del ricercatore Ryan Dowd — il 12 agosto 2026 il National Cyber Security Center dei Paesi Bassi (NCSC) ha confermato l'exploitation attiva di CVE-2026-65400. La vulnerabilità interessa il demone screensharingd di macOS. Il NCSC documenta che gli attaccanti ottengono accesso root e installano miner di criptovaluta Monero sui sistemi con porta 5900 esposta a Internet. I dettagli tecnici sul meccanismo di bypass provengono da questa singola fonte strutturata; le fonti ufficiali Apple e NCSC confermano la vulnerabilità e l'exploitation attiva, ma non forniscono analisi del meccanismo.
- Bypass pre-autenticazione: secondo l'analisi di Huntress, la falla nel validatore SRP di screensharingd restituisce uno stato di successo obsoleto, consentendo sessioni senza completamento dell'autenticazione.
- Accesso root confermato dal NCSC: in tutti i sistemi compromessi rilevati dal NCSC olandese, gli attaccanti hanno ottenuto privilegi di root e installato un miner Monero.
- Condizione di esposizione critica: l'exploitation richiede la porta 5900/TCP (Screen Sharing/VNC) accessibile da Internet; una ricognizione ha rilevato circa 40.000 host esposti.
- Collasso della timeline: Apple ha rilasciato la patch il 6 agosto; il reverse-engineering ha prodotto un exploit funzionante in circa 4 ore, con codice pubblico dall'8 agosto.
Il meccanismo: come una sessione cifrata diventa ingresso senza chiave
Il demone screensharingd gestisce le connessioni Screen Sharing di macOS attraverso il protocollo SRP (Secure Remote Password). Secondo l'analisi del ricercatore Ryan Dowd di Huntress, pubblicata su TechTimes, la vulnerabilità risiede nel validatore della lunghezza dei frame SRP: quando il campo supera una certa dimensione, il sistema restituisce uno stato di successo non aggiornato, consentendo la sessione prima che l'autenticazione sia stata completata.
La sessione così ottenuta non attiva la cifratura RSA-SRP. Dowd evidenzia che questo rende il traffico potenzialmente rilevabile: nel framework Endpoint Security di macOS, le connessioni legittime presentano authentication_type: RSA-SRP, mentre quelle exploitate si presentano come SRP in chiaro. La fonte non specifica se strumenti di rilevamento automatico siano già disponibili.
Una volta stabilita la sessione, l'attaccante sfrutta il helper SSFileCopySender, che eredita l'entitlement kTCCServiceSystemPolicyAllFiles. Questo permesso — documentato nella stessa analisi — concede accesso completo al disco e bypassa le protezioni TCC (Transparency, Consent and Control) di macOS. Il risultato è l'escalation di privilegi senza ulteriori exploit.
La catena di eventi: 8 giorni dalla patch alla conferma del NCSC
Apple ha distribuito la correzione di CVE-2026-65400 il 6 agosto 2026 attraverso tre rami di sistema operativo: macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. I bollettini ufficiali — pubblicati su support.apple.com — descrivono la falla come "un problema di autenticazione risolto con un miglioramento della gestione dello stato". La stessa fonte ufficiale attribuisce la scoperta a Alfredo Pesoli, ricercatore di Bynario Atlas.
Entro la stessa giornata del rilascio, il team Calif.io ha completato il reverse-engineering della patch e prodotto un exploit funzionante. Il tempo stimato: circa 4 ore. Il codice proof-of-concept è diventato pubblico l'8 agosto. Il NCSC olandese ha emesso l'avviso NCSC-2026-0280 il 12 agosto, confermando exploitation attiva su "sistemi multipli" con porta 5900 esposta.
"Il NCSC ha ricevuto una notifica che indica un abuso attivo di questa vulnerabilità osservato su più sistemi in cui la porta 5900 era accessibile da Internet. In tutti questi casi, era stato ottenuto l'accesso root sul sistema interessato e era stato collocato un miner di criptovaluta Monero." — National Cyber Security Center dei Paesi Bassi, via SecurityAffairs (traduzione dall'inglese)
La citazione del NCSC, riportata da più fonti concordanti, stabilisce tre elementi congiunti: esposizione di rete (porta 5900), compromissione con accesso root e payload specifico (miner Monero). Nessuna fonte documenta al momento l'uso della stessa falla per furto di dati o altri payload.
La discrepanza sui punteggi e il rischio documentato
Sulle metriche di severità esiste una discrepanza tra fonti. SecurityAffairs riporta CVSS 9.8 (critico), con vettore completo di rete. Ars Technica indica invece 7.1 (alto). Apple non ha pubblicato alcun punteggio nei bollettini ufficiali. Il dato ufficiale del NVD non è citato nel dossier; la discrepanza tra SecurityAffairs e Ars Technica resta non risolta sulle fonti disponibili.
Il bollettino Apple utilizza linguaggio condizionale: "An attacker on the network may be able to authenticate to Screen Sharing without valid credentials". Il NCSC conferma l'accesso root e il miner Monero nei casi osservati. Nessuna fonte classifica la vulnerabilità con "impatto totale" come categoria formale.
Una ricognizione di @osxreverser aveva rilevato circa 40.000 host Screen Sharing esposti, con quasi la metà negli Stati Uniti; la distribuzione include sistemi residenziali, universitari e aziendali. Il ricercatore aveva anticipato la natura della vulnerabilità con il titolo programmatico: "It's a pre-auth, stupid!". Una falla correlata era stata patchata a luglio; CVE-2026-65400 rappresenta un bug pre-autenticazione più profondo nello stesso demone.
Cosa fare adesso
Misure verificate dal brief:
1. Aggiornare immediatamente a macOS Tahoe 26.6.1, Sequoia 15.7.9 o Sonoma 14.8.9. Apple ha rilasciato la patch il 6 agosto 2026.
2. Verificare l'esposizione della porta 5900/TCP. Il NCSC conferma che tutti i sistemi compromessi avevano questa porta accessibile da Internet. La fonte non specifica strumenti di rilevamento automatico per le connessioni exploitate.
3. Riconoscere l'inefficacia delle contromisure convenzionali. Secondo l'analisi di Huntress, la rimozione di utenti approvati, la disabilitazione della password VNC legacy e la rotazione della password VNC operano a valle del percorso di autenticazione eluso dalla falla.
4. Monitorare le connessioni SRP in chiaro nel framework Endpoint Security, dove le sessioni legittime mostrano authentication_type: RSA-SRP e quelle exploitate SRP. La fonte non conferma la disponibilità di strumenti automatici per questo rilevamento.
Raccomandazioni standard (non verificate come raccomandazioni delle fonti primarie): limitare l'esposizione di servizi di desktop remoto attraverso controlli di rete; valutare l'uso di reti private per l'accesso remoto.
Perché è importante
Il caso CVE-2026-65400 mostra che componenti consolidati di macOS possono nascondere bypass pre-autenticazione con impatto severo sui sistemi esposti. La convergenza tra fonti è sui fatti NCSC (exploitation attiva, root, miner Monero); i dettagli tecnici del meccanismo SRP provengono dalla singola fonte strutturata di Huntress/TechTimes.
La timeline — 4 ore di reverse-engineering, 2 giorni al codice pubblico, 8 giorni alla conferma di exploitation — illustra la velocità con cui le patch diventano vettori di attacco. La finestra tra disponibilità della correzione e exploitation attiva è compressa rispetto ai cicli di aggiornamento manuali.
Il payload Monero, con ricavi stimati tra 3 e 15 dollari mensili per Mac compromesso a tariffe elettriche residenziali, indica un attacco di volume su sistemi con porte esposte. Il NCSC non identifica attori della minaccia né conferma l'inizio dell'exploitation prima del 12 agosto 2026.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.techtimes.com/articles/324574/20260815/macos-screen-sharing-flaw-actively-exploited-mine-monero-patch-now.htm
- https://securityaffairs.com/197234/uncategorized/macos-screen-sharing-flaw-exploited-to-deploy-monero-miners.html
- https://arstechnica.com/security/2026/08/vulnerability-giving-attackers-full-control-of-macs-is-under-active-exploitation/
- https://we-fix-pc.com/2026/08/14/hackers-exploit-macos-screen-sharing-flaw-to-deploy-monero-miner/
- https://www.bleepingcomputer.com/news/security/hackers-exploit-macos-screen-sharing-flaw-to-deploy-monero-miner/amp/
- https://support.apple.com/en-us/148170
- https://support.apple.com/en-us/148171
- https://support.apple.com/en-us/148172
- http://support.apple.com/en-us/148170
- https://wiz.io/lp/ai-threat-readiness-playbook?utm_source=bleepingcomputer&utm_medium=display&utm_campaign=FY27Q2_INB_FORM_AI-Threat-Readiness-Playbook&sfcid=701Vh00000cnU0lIAE&utm_term=FY27-bleepingcomputer-article-970x250-August&utm_content=AITR-Playbook