Les pirates utilisent une vulnérabilité critique de macOS pour installer des mineurs Monero (XMR) sur des ordinateurs Mac. La faille permet d'accéder sans informations d'identification valides aux ordinateurs avec partage d'écran exposés à Internet et, lors des attaques détectées, les cybercriminels ont réussi à obtenir un accès root au système. Dans toutes les attaques signalées au Centre national de cybersécurité des Pays-Bas (NCSC-NL), les cybercriminels ont obtenu un accès root au système et l'ont utilisé pour installer un logiciel destiné à exploiter Monero.
La faille, identifiée comme CVE-2026-65400, affecte le partage d'écran, l'outil intégré à macOS pour contrôler à distance un autre ordinateur. Sa gravité a été relevée à 9,8 sur 10, un niveau critique, après confirmation de son exploitation et réévaluation de ses caractéristiques.
Apple a déjà corrigé la vulnérabilité dans macOS Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9. Les mises à jour ont été publiées le 6 août. La société explique que le problème était lié à la gestion de l'état lors de l'authentification et pourrait permettre à un attaquant de s'authentifier auprès du partage d'écran sans informations d'identification valides.
Mac exposés directement à Internet
Les attaques connues ont un élément commun : les ordinateurs compromis maintenaient le port 5900 accessible depuis Internet, utilisé par le partage d'écran et les services VNC. Le NCSC a mis à jour son alerte le 12 août après avoir reçu des informations sur des attaques contre plusieurs systèmes. Il a également confirmé la disponibilité publique du code de preuve de concept (PoC), qui permet à d'autres attaquants de tenter plus facilement d'exploiter des équipements qui ne sont pas mis à jour.
Tout système vulnérable dont le service est accessible depuis Internet peut potentiellement être exposé, quel que soit le pays dans lequel il se trouve. Cela ne signifie pas pour autant que des attaques ont été confirmées partout dans le monde. Le NCSC n'a pas divulgué le nombre de victimes ni l'emplacement des Mac compromis.
Les chercheurs en sécurité ont prévenu que la superficie potentielle est considérable. Une analyse citée par Huntress à partir des recherches Censys a identifié des dizaines de milliers d'hôtes potentiellement exposés à Internet. Il s’agit d’ordinateurs potentiellement vulnérables, et non de dizaines de milliers d’infections confirmées.
Accès root pour installer Monero
Dans les incidents signalés au NCSC, les attaquants ont obtenu les privilèges root, le plus haut niveau d'accès au système, et ont ensuite installé un logiciel pour exploiter Monero. L'attaque constitue un cas de cryptojacking : les criminels utilisent le processeur et l'électricité de l'ordinateur de la victime sans autorisation pour générer des crypto-monnaies.
Monero apparaît fréquemment dans ce type d'attaques en raison de ses fonctionnalités de confidentialité et parce qu'il peut être exploité à l'aide de processeurs conventionnels. La vulnérabilité n’affecte cependant pas Monero ou sa blockchain. XMR est tout simplement l’atout privilégié des attaquants pour monétiser les ordinateurs compromis.
Le risque ne s’arrête pas non plus à l’installation d’un mineur. Obtenir un accès root signifie obtenir un degré élevé de contrôle sur l'ordinateur, donc le minage de Monero est l'activité observée dans ces incidents, mais cela ne représente pas nécessairement tout ce qu'un Mac compromis permettrait.
Mettre à jour macOS
La solution est d'installer les versions corrigées publiées par Apple : Tahoe 26.6.1, Sequoia 15.7.9 ou Sonoma 14.8.9, selon le système utilisé. Apple attribue la découverte du CVE-2026-65400 à Alfredo Pesoli de Bynario Atlas. Les administrateurs doivent également éviter de garder le partage d'écran inutilement accessible directement depuis Internet, notamment via le port 5900.
Apple a déjà corrigé la vulnérabilité dans les versions mises à jour de macOS. Le risque se concentre désormais sur les équipements qui ne sont pas mis à jour et maintiennent le service exposé à Internet.