Una falla di macOS che apre la porta al controllo totale dei Mac

Una falla in macOS Screen Sharing, identificata come CVE-2026-65400, può consentire a un attaccante presente sulla rete di autenticarsi senza credenziali valide.

Apple l’ha corretta con recenti aggiornamenti, ma il rischio è diventato concreto: il NCSC dei Paesi Bassi ha confermato casi di sfruttamento contro Mac esposti su Internet, con privilegi root e software per cryptomining installato.

Screen Sharing è il servizio integrato di macOS per controllare a distanza desktop, applicazioni, tastiera e mouse di un altro Mac. È molto usato in contesti di assistenza tecnica, sui Mac mini senza monitor e nelle installazioni server o bare metal. Proprio questa funzione, se accessibile dall’esterno, può però ampliare sensibilmente la superficie d’attacco.

Il problema riguarda i sistemi con Screen Sharing attivo e raggiungibile in rete, soprattutto quando la porta TCP 5900 risulta pubblicamente esposta. Apple descrive l’impatto come la possibilità per un aggressore di rete di autenticarsi al servizio senza disporre di credenziali valide.

Bypass prima dell’accesso

Secondo l’analisi di Huntress, il difetto risiede nel processo screensharingd e nel percorso di autenticazione basato su Secure Remote Password, o SRP. Un errore nella gestione dello stato durante la validazione della lunghezza dei frame può lasciare un esito positivo non più valido: il servizio considera così autenticata una connessione che non ha completato correttamente l’autenticazione. La sessione può inoltre continuare senza le protezioni crittografiche normalmente previste.

Non si tratta quindi di una classica vulnerabilità successiva al login. L’exploit può funzionare prima della verifica delle credenziali, anche quando l’autenticazione VNC legacy è disabilitata e non sono stati autorizzati account locali all’uso di Screen Sharing. Per questo cambiare password, revocare permessi a singoli utenti o intervenire solo sulla configurazione VNC non è una mitigazione sufficiente.

L’impatto può andare oltre il semplice controllo remoto della sessione. Huntress ha rilevato che i componenti privilegiati usati per le operazioni di trasferimento file possono offrire capacità di lettura e scrittura con privilegi elevati; ciò rende possibile trasformare il difetto in esecuzione di codice e persistenza, a seconda della configurazione del Mac.

Patch immediata e porta 5900 protetta

Apple ha distribuito la correzione in macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. I Mac che eseguono build precedenti delle rispettive versioni supportate devono essere aggiornati con priorità, perché queste sono le release che chiudono esplicitamente CVE-2026-65400.

L’esposizione pubblica della porta TCP 5900 è il fattore operativo più importante. Il NCSC olandese indica che gli attacchi osservati hanno riguardato sistemi con Screen Sharing abilitato e porta 5900 raggiungibile da Internet; gli aggressori hanno ottenuto accesso root e installato miner di criptovalute.

Se l’aggiornamento non è applicabile nell’immediato, conviene disattivare Screen Sharing. Se invece il servizio è indispensabile, va reso raggiungibile solo tramite VPN, rete amministrativa segregata o regole firewall restrittive, mai direttamente da Internet. Sui Mac che potrebbero essere già stati esposti, la sola patch non basta: è prudente verificare processi, file di avvio e possibili meccanismi di persistenza, dato che un accesso root può essere usato anche per sottrarre dati o preparare ulteriori intrusioni.