OWN NEWS GATHER
← 戻る
The Hacker News

macOSの「画面共有」脆弱性を突くサイバー攻撃が発生、ネット公開されたMacに仮想通貨マイナーが仕込まれる被害

要点

  • オランダ国家サイバーセキュリティセンター（NCSC-NL）は、macOSの「画面共有」機能における脆弱性が悪用され、暗号資産マイナーが不正設置される被害を確認したと警告した。

  • 悪用された「CVE-2026-65400」は重大な認証不備の脆弱性で、ポート5900がインターネットに公開された端末において、正規の認証情報なしにroot権限を奪われる危険がある。

  • Appleは2026年8月6日に緊急アップデートを公開し、状態管理機構の改善により不正な認証試行を防ぐ修正を実施した。

  • 専門家や研究者の調査により、同機能には複数の深刻な不備が存在していたことや、インターネット上に数万台規模の画面共有ホストが直接露出していた実態が明らかになっている。

  • AppleのmacOSに標準搭載されている「画面共有」機能の脆弱性を悪用し、インターネット経由で侵入した端末へ暗号資産（仮想通貨）Moneroのマイニングプログラムを勝手に導入するサイバー攻撃が確認された。オランダ国家サイバーセキュリティセンター（NCSC-NL）が公開したセキュリティアドバイザリの更新で明らかにしたもので、被害に遭った端末では最高管理者権限であるroot権限が奪われていたという。Appleは2026年8月6日付で緊急のソフトウェアアップデートをリリースし、認証処理に関する不備を修正したと発表している。

脆弱性の悪用状況と被害の実態

NCSC-NLの報告によると、今回の攻撃は画面共有やVNC（ネットワーク経由で別のコンピュータを遠隔操作するプロトコル）で標準的に使われる「ポート5900」がインターネット上に直接公開されていたMacを標的として行われた。攻撃者は脆弱性を突いて認証を回避し、対象システムへ侵入したとされる。

確認された事例のすべてにおいて、攻撃者はシステム全体の変更が可能なroot権限を取得した上で、暗号資産Moneroを採掘するマイナーを設置していた。悪用された脆弱性の識別番号は「CVE-2026-65400」で、共通脆弱性評価システムCVSSのスコアは深刻度「緊急」に相当する9.8と極めて高い。

ただし、これらの攻撃が最初に観測された時期や全体的な被害規模、パッチ公開前のゼロデイ脆弱性として悪用されていたのかどうか、さらにはマイナー設置以外の不正操作が行われていたかといった詳細については、現時点では明らかになっていない。

Appleによる緊急修正と修正内容

Appleは2026年8月6日に公開したセキュリティ勧告において、認証情報の適切な検証を強制し不正な認証試行を防ぐため、状態管理機構を改善したと説明している。修正は緊急アップデートとして以下のOS向けに提供された。

  • macOS Tahoe 26.6.1
  • macOS Sequoia 15.7.9
  • macOS Sonoma 14.8.9

本脆弱性の発見と報告について、Appleはセキュリティ企業BynarioのリサーチャーであるAlfredo Pesoli氏に謝辞を述べている。

画面共有サーバーに潜んでいた一連の不具合

セキュリティ企業Califの追加報告によると、今回の問題は画面共有サーバー（Screen Sharing Server）コンポーネントに存在した一連のバグに関連している。Appleは先月末にリリースした「macOS Tahoe 26.6」の段階でも、同コンポーネントにおける3件の脆弱性（CVE-2026-43779 [CVSS 9.8]、CVE-2026-43777 [CVSS 7.5]、CVE-2026-43760 [CVSS 8.6]）を修正していた。

このうちCVE-2026-43760について、Pesoli氏は技術解説の中で「VNCパスワードによる画面操作」を有効にしているMacを対象とした認証後の脆弱性であると説明していた。レガシーな認証経路に残る不備により、ファイルコピー処理を悪用してroot権限でのファイル読み取りや任意ファイルの作成が可能になり、最終的に特権昇格やリモートコード実行（RCE: 遠隔から任意の命令を実行させる攻撃）へと至るものだったという。

認証前RCEの指摘と数万台の公開ホスト

一方で、「@osxreverser」と名乗るセキュリティ研究者は、画面共有デーモン（screensharingd）にはパスワードを知らなくてもIPアドレスだけでMacを遠隔掌握（pwn）できる事前認証なし（pre-authentication）の脆弱性が存在していたと指摘している。同氏は過去の経緯からAppleへの事前報告を行っていなかったと述べている。

さらに@osxreverser氏は、直近のスキャン結果として約4万台の画面共有ホストがインターネット上に露出していたと明かした。その大半は米国の家庭用IPだったものの、大学や一般企業、テキストエディタ「BBEdit」の開発元企業のサーバーなども含まれていたという。

Califの分析によれば、@osxreverser氏が指摘した事前認証バグ（macOS 26.6で修正済み）と今回のCVE-2026-65400は同一のソースコードファイルに起因している。前者はフレームサイズ超過時の長さチェックで直前の読み取り成功コードをそのまま返してしまう戻り値の不備による認証通過バグであり、後者はステートマシン（状態遷移の管理機構）の不整合によるバグであると説明されている。

補足

インターネット上にポート5900などのリモート管理インターフェースを直接公開する設定は外部からの探索を受けやすく、SSHトンネルなどを経由しない露出環境では攻撃リスクが大幅に高まることが改めて浮き彫りとなっている。

元URL