Des attaquants exploitent une vulnérabilité du partage d’écran de macOS pourtant corrigée par Apple pour obtenir les privilèges root et installer des mineurs Monero (XMR). Un agent d’intelligence artificielle a par ailleurs réussi à développer des exploits pleinement fonctionnels en seulement quatre heures.
À retenir
- Des pirates abusent de la faille CVE-2026-65400 sur des Macs exposés pour obtenir des accès root et déployer des mineurs Monero.
- Calif affirme qu’un agent IA a produit en quatre heures des exploits opérationnels pour deux failles root à distance avant authentification.
- Apple a publié un correctif, tandis que les agences néerlandaise et américaine affichent des divergences marquées sur la sévérité CVSS.
Exploit Monero sur macOS
Le Centre national de cybersécurité néerlandais (NCSC) a indiqué, le 12 août, avoir reçu des signalements d’exploitation active de la faille CVE-2026-65400 sur des Macs exposant le port 5900 sur internet. Tous les cas confirmés suivent le même scénario.
L’agence explique que « le compte root avait été compromis » et « un mineur de crypto-monnaie Monero installé », tandis qu’Apple décrit la vulnérabilité comme un problème d’authentification corrigé via une meilleure gestion d’état dans macOS Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9.
Le chercheur en sécurité osxreverser a recensé environ 40 000 hôtes de partage d’écran accessibles depuis internet, dont près de la moitié aux États-Unis, beaucoup via des connexions résidentielles. Le nombre de Macs effectivement compromis reste inconnu. Dans l’attente de l’application du correctif, les utilisateurs sont invités à désactiver le partage d’écran ou à bloquer le port 5900.
À lire aussi : Anthropic dépasse OpenAI de 25 milliards de dollars, portée par une forte dynamique de revenus
L’exploit IA de Calif
La société de sécurité Calif a procédé à l’ingénierie inverse de la mise à jour hors cycle d’Apple et utilisé un agent IA pour générer des exploits fonctionnels visant deux failles distinctes, permettant un accès root à distance avant authentification. L’ensemble du processus n’a pris que quatre heures. L’entreprise indique retenir pour l’instant les détails techniques de CVE-2026-65400, estimant que la création d’un exploit est « trop triviale » tant que la majorité des Macs n’est pas corrigée.
Le média Ars Technica souligne que l’accès root pourrait tout autant servir au vol d’identifiants qu’au minage, et qu’aucun élément public ne prouve à ce stade une exploitation allant au-delà du cryptominage.
Le NCSC néerlandais attribue un score CVSS v3 de 7,1 à CVE-2026-65400, alors que la CISA américaine lui applique un score de 9,8 via son programme d’enrichissement alimentant la National Vulnerability Database, soit un écart de 2,7 points entre agences nationales.
Le NIST n’a pas encore publié son propre score, et une note distincte de 9,6, citée par ailleurs, ne correspond à aucune des évaluations nationales de référence.
Apple a diffusé son avis de sécurité le 6 août en créditant Alfredo Pesoli de Bynario. Le NCSC néerlandais a publié une première alerte le 7 août, puis l’a révisée le 12 août après la mise en ligne d’une preuve de concept publique et la confirmation d’abus actifs. Entre la publication du correctif et les premières exploitations observées, six jours se sont écoulés.
