Apple ha corregido una vulnerabilidad crítica en el componente de Screen Sharing de macOS que permitía el acceso remoto sin credenciales. El NCSC de los Países Bajos advirtió que atacantes están explotando este fallo para instalar mineros de criptomonedas Monero. Se recomienda actualizar urgentemente a las últimas versiones de macOS Tahoe, Sequoia o Sonoma, o desactivar la función de pantalla compartida.







Un fallo de seguridad recientemente parcheado en Apple macOS ha sido explotado activamente para desplegar un minero de criptomonedas, ha advertido el Centro Nacional de Ciberseguridad de los Países Bajos (NCSC) aquí.

La vulnerabilidad en cuestión es la CVE-2026-65400 (puntuación CVSS: 9.8), un problema crítico de autenticación que afecta al componente de Screen Sharing y que podría permitir que un atacante que ya esté en la red se autentique en el servicio de escritorio remoto integrado sin credenciales válidas.

Las actualizaciones lanzadas por Apple mejoran los mecanismos de gestión de estados para imponer una validación de credenciales correcta y evitar intentos de autenticación no autorizados. El problema se solucionó como parte de una actualización de emergencia en macOS Tahoe 26.6.1 aquí, macOS Sequoia 15.7.9 aquí y macOS Sonoma 14.8.9 aquí a principios de este mes.

"Se solucionó un problema de autenticación con una gestión de estado mejorada", afirmó Apple en un aviso publicado el 6 de agosto de 2026. Dio crédito al investigador de seguridad Alfredo Pesoli de Bynario por descubrir y reportar el problema.

En una actualización de su aviso, el NCSC-NL señaló que ha recibido un informe que indica un abuso activo de la vulnerabilidad en múltiples sistemas donde el puerto 5900 era accesible desde internet.

"En todos estos casos, el root había ganado acceso al sistema afectado y colocado un minero de criptomonedas Monero", añadió la agencia.

Actualmente no hay detalles sobre cuándo se observaron estos ataques, la escala de tales esfuerzos, si el fallo fue explotado como un zero-day o si va más allá de la minería de criptomonedas.

Calif, que publicó información adicional aquí sobre el fallo, dijo que forma parte de una serie de errores en el componente Screen Sharing Server que fueron parcheados por Apple con macOS Tahoe 26.6 aquí lanzado a finales del mes pasado -

* CVE-2026-43779 (puntuación CVSS: 9.8) - Un problema de lógica que podría permitir que una aplicación intercepte conexiones de red destinadas a otro proceso
* CVE-2026-43777 (puntuación CVSS: 7.5) - Un problema no especificado que podría permitir a un atacante remoto causar una denegación de servicio (DoS)
* CVE-2026-43760 (puntuación CVSS: 8.6) - Un problema de acceso que podría permitir que una aplicación acceda a datos sensibles del usuario

En una publicación posterior al lanzamiento de los parches, Pesoli describió la CVE-2026-43760 como un error de post-autenticación que requiere que el Mac objetivo tenga habilitado Screen Sharing o Remote Management con la opción "Los visores VNC pueden controlar la pantalla con contraseña" configurada, y que el atacante ya posea esa contraseña VNC.

El problema, señaló el investigador, reside en una ruta de autenticación heredada de Screen Sharing que involucra el acceso con contraseña VNC, lo que convierte una operación de copia de archivos en la divulgación de archivos protegidos, la creación arbitraria de archivos root y la ejecución remota de comandos root.

"Después del paso de autenticación VNC, cruzamos un límite que la contraseña nunca debió cruzar", explicó Pesoli aquí. "Un visor remoto puede hacer que macOS Screen Sharing lea archivos protegidos como root".

"En la otra dirección, el visor puede crear archivos controlados por el atacante como root. Usamos esa segunda primitiva para instalar una política de sudoers válida y convertir una operación de copia de archivos en una ejecución remota de comandos root (o una LPE)".

Sin embargo, un investigador de seguridad conocido por el alias online @osxreverser dijo aquí que el problema real es una vulnerabilidad de pre-autenticación aquí en el demonio de Screen Sharing ("screensharingd") que hace posible comprometer cualquier Mac que tenga habilitado Screen Sharing sin tener que saber la contraseña ni nada más. El único requisito es conocer la dirección IP.

El investigador también señaló que había estado guardando el error "durante un tiempo" y que no informó del problema a Apple "dada mi larga historia con ellos".

"Mi último escaneo mostró alrededor de 40k hosts de screen sharing abiertos en internet, casi la mitad en los EE. UU., la mayoría son IPs residenciales pero hay muchos hosts jugosos en universidades estadounidenses, algunas empresas, un servidor de la empresa BBEdit", dijo @osxreverser aquí en una publicación posterior en X. "Pásalo bien, nunca expongas esos servicios a menos que estén detrás de SSH".

Cabe destacar que la CVE-2026-65400 es distinta de la vulnerabilidad de pre-auth resaltada por @osxreverser; esta última fue corregida por el gigante tecnológico en la misma versión de macOS 26.6 junto con los otros tres fallos. Lo interesante aquí es que ambos residen en el mismo archivo de código fuente, según Calif -

El error de @osxreverser es un único retorno incorrecto. Una comprobación de longitud aborta prematuramente en una trama sobredimensionada y devuelve un valor que resulta ser el código de éxito de la lectura justo anterior. El llamador lee eso como "este paso de autenticación pasó" y avanza la máquina de estados. Mientras que el primer error es un valor de retorno obsoleto, el segundo es una desincronización de la máquina de estados.

Nombrar una cuenta es lo único que necesita el segundo error, lo que lo hace más débil que el primero. No es una gran barrera. Un nombre de usuario no es un secreto, y macOS los imprime en la ventana de inicio de sesión. El primer error ni siquiera necesita eso. El segundo error también estaba presente en la 26.5.2, justo al lado del primero todo el tiempo.

Ambos son errores de lógica. No hay heap groom, no hay derrota de ASLR, no hay carrera que ganar, no hay cierre inesperado. Envía uno o dos paquetes en el orden correcto y la máquina Mac objetivo te deja entrar. Funciona a la primera y funciona siempre, en cada máquina no parcheada con Screen Sharing habilitado.

Calif dijo que se reserva detalles adicionales sobre la CVE-2026-65400 hasta que la mayoría de los usuarios se hayan actualizado con la corrección, dada la facilidad con la que se pueden diseñar los dos exploits remotos de root pre-auth utilizando un agente de inteligencia artificial (IA). La empresa de seguridad de IA reveló que creó un exploit funcional para ambos fallos en cuatro horas.

Con la CVE-2026-65400 ahora bajo ataque activo, los hallazgos demuestran una vez más cómo la IA está reduciendo la brecha entre el descubrimiento de vulnerabilidades y su conversión en armas.

Se recomienda que actualices tu sistema a la última versión para una protección óptima. Si no puedes parchear el fallo de inmediato, se aconseja desactivar Screen Sharing navegando a General > Compartir > Desactivar Screen Sharing en "Contenido y medios".

Fuente:
THN