Una falla ad alta gravità nel sistema di condivisione schermo di macOS è già sotto attacco attivo, e le prime vittime hanno ritrovato sui propri Mac non un ladro di dati, ma un minatore di Monero installato con privilegi di root. La vulnerabilità condivisione schermo macOS, identificata come CVE-2026-65400, permette a un aggressore remoto di eseguire codice malevolo senza bisogno di credenziali valide, ed è stata confermata come attivamente exploitata dal Centro nazionale olandese per la sicurezza informatica (NCSC), che ha già rilevato compromissioni su più sistemi.
Summary
Punti chiave
- La falla CVE-2026-65400 ha una gravità di 7,1 su 10 e nasce da un errore nella gestione degli stati della condivisione schermo di macOS.
- L’NCSC olandese ha confermato exploit attivi sui sistemi con la porta 5900 esposta su Internet.
- Gli attaccanti hanno ottenuto accesso root e installato miner di Monero sui Mac colpiti.
- Apple ha rilasciato una patch la settimana scorsa per macOS Tahoe, Sequoia e Sonoma.
- Gli esperti raccomandano di disattivare la condivisione schermo quando non serve e installare subito l’aggiornamento di sicurezza.
Vulnerabilità macOS grave permette esecuzione remota di codice
Il problema riguarda una funzione integrata in macOS, pensata per consentire il controllo remoto di un computer tramite il protocollo VNC. Quando questa funzione è attiva, apre una porta di rete che, se lasciata esposta, diventa una porta d’accesso per chiunque conosca il difetto.
Cos’è e come nasce la vulnerabilità
La causa tecnica è un bug nel meccanismo di state management, il sistema che tiene traccia degli eventi precedenti, delle interazioni dell’utente e delle variabili di sistema. Un errore in questo processo consente a un aggressore di eludere la verifica delle credenziali e di ottenere accesso al Mac come se fosse un utente autorizzato, senza fornire alcuna password.
Dettagli tecnici e livello di gravità
La vulnerabilità porta il nome CVE-2026-65400 e ha ricevuto un punteggio di gravità di 7,1 su 10, un valore che colloca il difetto tra i rischi seri per la sicurezza dei dispositivi Apple. I dettagli tecnici sono diventati pubblici durante la conferenza Black Hat della settimana scorsa, un passaggio che, come spesso accade nel settore della sicurezza informatica, ha probabilmente accelerato i tentativi di exploit da parte di chi segue le pubblicazioni sulle falle appena divulgate. Apple, nel comunicare il problema, ha usato un linguaggio cauto, dicendo che la falla “potrebbe” consentire l’accesso a un attaccante senza credenziali: una formula attenuata che, sebbene comune tra gli sviluppatori tecnologici, non riflette la gravità osservata sul campo.
Centro olandese conferma attacchi in corso
L’NCSC ha certificato che gli attacchi non sono teorici: sono già in corso su più sistemi individuati con la porta 5900 raggiungibile da Internet. È la conferma più solida finora arrivata sull’effettivo sfruttamento della falla fuori dai laboratori di sicurezza.
Come avviene l’exploit
L’agenzia olandese ha spiegato di aver ricevuto una segnalazione che indica un abuso attivo della vulnerabilità osservato su più sistemi con la porta 5900 esposta su Internet. Quando la condivisione schermo è attiva, il firewall di macOS apre automaticamente questa porta; router e firewall dedicati, di norma, la bloccano a meno che non siano configurati diversamente per consentirne il passaggio. È esattamente questa combinazione, condivisione schermo attiva più porta accessibile dall’esterno, a creare la finestra di attacco che i cybercriminali stanno sfruttando.
Conseguenze sui Mac attaccati
In tutti i casi documentati dall’NCSC, gli attaccanti hanno ottenuto accesso root al sistema compromesso e vi hanno installato un miner di Monero, la criptovaluta orientata alla privacy che viene generata sfruttando silenziosamente le risorse di calcolo del dispositivo infetto. Al momento non ci sono segnali che gli exploit vengano usati per installare altro oltre ai miner, ma il rischio più concreto riguarda ciò che potrebbe arrivare dopo: chi ha già accesso root a un Mac può, in teoria, distribuire malware ben più dannoso, capace di rubare credenziali o compiere altre attività malevole. È questo il motivo per cui la falla non va sottovalutata solo perché, per ora, il payload osservato è “soltanto” un miner.
Apple rilascia patch e consiglia sicurezza
Apple ha già corretto il problema, ma la protezione funziona solo se l’aggiornamento viene effettivamente installato. La finestra tra la divulgazione pubblica della falla e la sua patch è già stata sfruttata dagli attaccanti, il che rende l’aggiornamento immediato una priorità, non un’opzione.
Dettagli sull’aggiornamento
La patch è stata distribuita la settimana scorsa per macOS Tahoe, Sequoia e Sonoma, con le versioni Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9 che migliorano i meccanismi di gestione degli stati per imporre una corretta validazione delle credenziali e impedire tentativi di autenticazione fraudolenti.
Consigli per proteggersi
Gli esperti di sicurezza raccomandano di tenere la porta 5900 chiusa anche quando si usa la condivisione schermo, preferendo connessioni alternative come una VPN o un tunnel SSH, soluzioni che però richiedono competenze tecniche che gran parte degli utenti comuni non possiede. La pratica più sicura resta comunque quella più semplice: bloccare la condivisione schermo, attivarla solo quando serve davvero e disattivarla non appena la sessione è terminata. Su Mac basta andare in Impostazioni di Sistema, poi Generali e Condivisione, e disattivare l’interruttore della Condivisione Schermo. A questo, naturalmente, si deve aggiungere l’installazione della patch rilasciata la settimana scorsa, senza la quale ogni altra precauzione resta parziale.
FAQ
Qual è la natura della vulnerabilità macOS CVE-2026-65400?
È un difetto nella gestione degli stati della condivisione schermo di macOS che permette a un attaccante remoto di eseguire codice malevolo senza bisogno di credenziali.
Come stanno sfruttando gli attaccanti questa vulnerabilità?
Gli attaccanti sfruttano la falla quando la porta 5900 è esposta su Internet e la condivisione schermo è attiva, ottenendo accesso root e installando miner di Monero.
Quali versioni di macOS hanno ricevuto la patch per questa vulnerabilità?
Apple ha rilasciato la settimana scorsa gli aggiornamenti per macOS Tahoe, Sequoia e Sonoma per correggere il problema.
Quali misure di sicurezza possono adottare gli utenti per proteggersi?
Gli utenti dovrebbero disattivare la condivisione schermo quando non è in uso, chiudere la porta 5900 e installare l’ultimo aggiornamento di sicurezza disponibile.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
