Vulnerabilidade CVE-2026-65400 permite contornar a autenticação do recurso Screen Sharing em sistemas desatualizados; ataques já comprometeram Macs com a porta 5900 exposta à internet.

Criminosos cibernéticos estão explorando uma vulnerabilidade recentemente corrigida no recurso de Compartilhamento de Tela do macOS para obter acesso root aos dispositivos afetados e instalar mineradores da criptomoeda Monero.

Identificada como CVE-2026-65400, a falha está relacionada ao processo de autenticação do Screen Sharing. De acordo com a Apple, um atacante com acesso de rede ao dispositivo pode se autenticar no serviço sem apresentar credenciais válidas. O problema recebeu pontuação 7,1 no CVSS, correspondente à classificação de alta gravidade.

A Apple corrigiu a vulnerabilidade em 6 de agosto de 2026, com o lançamento das seguintes versões:

• • macOS Tahoe 26.6.1;
• • macOS Sequoia 15.7.9;
• • macOS Sonoma 14.8.9.

Segundo a empresa, a correção aprimorou os mecanismos de gerenciamento de estado utilizados durante a autenticação, garantindo que apenas tentativas realizadas com credenciais válidas sejam aceitas.

Exploração ativa atinge sistemas com a porta 5900 exposta

Em 12 de agosto, poucos dias depois da publicação das atualizações, o Centro Nacional de Segurança Cibernética dos Países Baixos, o NCSC-NL, informou ter recebido relatos de exploração ativa da vulnerabilidade.

Os ataques foram identificados em diferentes sistemas nos quais a porta 5900, normalmente utilizada pelo Compartilhamento de Tela, estava acessível diretamente pela internet. Em todos os casos reportados ao órgão, os invasores conseguiram obter acesso root e instalar um minerador de Monero. O NCSC também alertou para a disponibilidade pública de um código de prova de conceito, ou PoC, capaz de facilitar novos ataques.

A exploração depende de o recurso de Compartilhamento de Tela estar habilitado e acessível ao atacante. Em sistemas expostos à internet, isso pode permitir tentativas remotas diretas. Em ambientes internos, a falha também pode ser explorada por um invasor que já tenha obtido acesso à rede corporativa.

Pesquisadores da empresa de segurança Calif explicam que, para explorar a CVE-2026-65400, o atacante precisa apenas informar o nome de uma conta existente no Mac. O conhecimento da senha não é necessário. Essa exigência representa uma barreira limitada, já que nomes de usuários não são considerados informações secretas e podem aparecer na própria tela de login do macOS.

Um levantamento divulgado pelos pesquisadores apontou aproximadamente 40 mil Macs com serviços de Compartilhamento de Tela acessíveis pela internet. O número não representa necessariamente sistemas vulneráveis no momento atual, mas evidencia a quantidade de dispositivos potencialmente expostos quando o recurso é habilitado sem restrições adequadas de rede.

Outras falhas foram encontradas no mesmo componente

A CVE-2026-65400 faz parte de uma sequência recente de problemas encontrados no screensharingd, serviço responsável por gerenciar as conexões de Compartilhamento de Tela no macOS.

No final de julho, a Apple já havia corrigido três vulnerabilidades relacionadas ao Screen Sharing Server no macOS Tahoe 26.6: CVE-2026-43779, CVE-2026-43777 e CVE-2026-43760. Os problemas poderiam provocar impactos como interceptação de conexões, negação de serviço e acesso indevido a informações sensíveis.

Pesquisadores também analisaram uma quarta vulnerabilidade, corrigida sem um identificador CVE público. O problema permitia contornar a autenticação e realizar operações de leitura e gravação de arquivos com privilégios root. Uma cadeia de ataque demonstrada para instalar uma shell reversa e criar persistência por meio do crontab exigia que o System Integrity Protection — SIP estivesse desativado. Mesmo com o SIP habilitado, contudo, o bypass de autenticação e parte das operações privilegiadas continuavam possíveis. Essa vulnerabilidade é distinta da CVE-2026-65400.

Como proteger os dispositivos

Usuários e organizações que administram dispositivos macOS devem instalar imediatamente as versões corrigidas disponibilizadas pela Apple. Também é recomendado:

• • desabilitar o Compartilhamento de Tela quando o recurso não for necessário;
• • impedir que a porta 5900 fique exposta diretamente à internet;
• • restringir o acesso por meio de firewall, VPN ou redes administrativas autorizadas;
• • verificar quantos dispositivos corporativos possuem o recurso habilitado;
• • investigar sistemas que permaneceram expostos antes da atualização, procurando processos, arquivos, conexões e mecanismos de persistência desconhecidos.

A atualização corrige a vulnerabilidade, mas não remove automaticamente possíveis mineradores ou outros artefatos instalados antes da aplicação do patch. Por isso, dispositivos anteriormente expostos devem passar por uma análise de comprometimento, especialmente quando houver consumo anormal de processamento ou alterações não autorizadas no sistema.

Para saber mais, clique aqui.