Partage d'écran macOS attaqué : des Mac piratés pour exploiter Monero

Les attaquants exploitent une faille Partage d'écran de macOS pour accéder aux Mac sans informations d'identification valides et obtenir des privilèges racine et installer un logiciel de minage Monéro. C'est ce qu'a rapporté le centre national néerlandais pour la sécurité de l'information, leNCSC-NLqui a mis à jour l'avis publié le 7 août sur CVE-2026-65400: « Le NCSC a reçu un rapport indiquant qu'un abus actif de cette vulnérabilité a été observé sur plusieurs systèmes sur lesquels le port 5900 était accessible depuis Internet. » Dans tous les cas observés, lit-on dans la même mise à jour, un accès root avait été obtenu sur la machine concernée et un mineur Monero avait été installé.

La vulnérabilité réside dans la fonctionnalité de partage d'écran intégrée à macOS, qui expose un serveur VNC sur le port TCP5900 et permet à un ordinateur distant de voir l'écran et de contrôler le clavier et la souris pendant que la machine est allumée. Un problème dans la gestion de l'état lors de l'authentification permet à ceux qui se connectent depuis le réseau d'être acceptés sans identifiants valides, et le score CVSS attribué est 7.1. Apple a publié le correctif sur 6 août avec macOS Tahoe 26.6.1, macOS Séquoia 15.7.9 Et macOS Sonoma 14.8.9intervenir sur les mécanismes de gestion de l’État pour garantir que seules les informations d’identification valides sont acceptées.

Lorsque le partage d'écran est activé, le pare-feu macOS ouvre tout seul le port 5900. Les routeurs et pare-feu dédiés le bloquent généralement de l’extérieur, à moins qu’une règle explicite ne remplace le comportement par défaut, et c’est la condition dans laquelle se trouvent les systèmes attaqués. L'exposition directe ne résulte donc pas de l'activation de la fonction elle-même, mais d'une redirection de port ou d'une machine connectée sans filtres en amont.

Détails techniques publics, puis le code de démonstration

Les détails du CVE-2026-65400 sont devenus publics lors de la Chapeau noir la semaine dernière et l’attaque est également montrée dans une vidéo postée sur X. Dans la revue de 12 août la notice néerlandaise enregistre deux éléments ensemble : la disponibilité d'un code de démonstration public et la connaissance d'un abus actif. Six jours se sont écoulés entre la diffusion du correctif le 6 août et l'enregistrement de l'abus dans l'avis le 12.

Apple, dans son document de support, décrit la faille de manière plus conservatrice : un attaquant sur le réseau « peut être en mesure de s'authentifier auprès du partage d'écran sans informations d'identification valides », et le problème d'authentification a été « résolu en améliorant la gestion de l'état ». Le tableau décrit par le NCSC est moins nuancé, car il parle de systèmes sur lesquels l'accès root avait déjà été obtenu.

Actualiser ou désactiver le partage d'écran

Le correctif est disponible dans macOS Tahoe 26.6.1, Séquoia 15.7.9 Et Sonoma 8.14.9et ceux qui n'ont pas encore mis à jour peuvent vérifier leur version dans Paramètres système, sous Général, dans Mise à jour logicielle. Lorsque la mise à jour n'est pas immédiatement possible, la contre-mesure consiste à désactiver le partage d'écran lorsqu'il n'est pas nécessaire, toujours à partir des paramètres système, en général, puis du partage. La pratique considérée comme la plus sûre consiste à activer le partage uniquement lorsque cela est vraiment nécessaire et à le désactiver dès la fin de la session, même sur un système déjà mis à jour.

Ceux qui utilisent le partage d'écran pour le travail ont une solution intermédiaire, c'est-à-dire garder le port 5900 fermé vers l'extérieur et faire passer la session via un VPN ou un tunnel SSH. C'est l'indication que les agents de sécurité donnent depuis un certain temps pour ce service, et cela s'applique également aux machines qui ont déjà reçu le correctif. Cependant, cela nécessite des étapes de configuration qui sont hors de portée de la plupart des utilisateurs.

Pour le moment, il n’existe aucun exploit permettant d’installer autre chose que des mineurs Monero, qui volent la capacité de calcul de la machine pour générer de la cryptomonnaie au profit de l’attaquant. Le plus grand risque est que la même entrée soit utilisée pour des logiciels qui volent des informations d'identification ou pour des activités plus malveillantes, étant donné que le niveau d'accès obtenu est celui de root. L'avis néerlandais ne précise pas combien de systèmes ont été touchés, quand les attaques ont commencé ou si elles vont au-delà de l'exploitation minière.