Des acteurs malveillants exploitent une vulnérabilité de Screen Sharing sous macOS, pourtant corrigée par Apple, pour obtenir des privilèges root et déployer des mineurs de Monero (XMR), tandis qu’un agent d’IA a réussi à produire un exploit fonctionnel en quatre heures.
Points clés :
- Des attaquants abusent de la faille CVE-2026-65400 sur des Mac exposés afin d’obtenir un accès root et d’installer des mineurs Monero.
- Calif affirme qu’un agent d’IA a généré en quatre heures des exploits opérationnels pour deux failles root pré‑authentification.
- Apple a publié un correctif, alors que les agences néerlandaise et américaine divergent fortement sur le score CVSS de la vulnérabilité.
Exploit Monero sur macOS
Le National Cyber Security Center néerlandais a indiqué le 12 août, dans un communiqué, avoir reçu des signalements d’exploitation active de CVE-2026-65400 sur des Mac dont le port 5900 est exposé sur internet. Tous les cas confirmés suivent le même schéma.
Selon l’agence, « l’accès root a été obtenu » et « un mineur de cryptomonnaie Monero a été installé », tandis qu’Apple décrit le bug comme un problème d’authentification corrigé via une meilleure gestion d’état dans macOS Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9.
Le chercheur en sécurité osxreverser recense environ 40 000 hôtes Screen Sharing accessibles depuis internet, dont près de la moitié aux États‑Unis, avec une majorité de connexions résidentielles. Le nombre de Mac compromis reste inconnu. En attendant le déploiement des mises à jour, les utilisateurs sont invités à désactiver Screen Sharing ou à bloquer le port 5900.
À lire aussi : Anthropic dépasse OpenAI de 25 milliards de dollars grâce à l’accélération de ses revenus
Exploit par IA chez Calif
La société Calif a rétro‑ingéniéré la mise à jour hors cycle d’Apple et utilisé un agent d’IA pour générer des exploits fonctionnels visant deux failles root à distance exploitables avant authentification. L’opération a pris quatre heures. L’entreprise indique retenir pour l’instant les détails techniques de CVE-2026-65400, estimant que la mise au point de l’exploit est trop aisée tant que la majorité des Mac n’est pas corrigée.
Ars Technica souligne que l’accès root pourrait tout aussi bien servir au vol d’identifiants qu’au minage, et qu’aucune preuve publique ne confirme à ce jour d’usage malveillant autre que la cryptomonnaie.
L’agence néerlandaise évalue CVE-2026-65400 à 7,1 selon le CVSS v3, tandis que la CISA américaine lui attribue la note de 9,8 via le programme d’enrichissement alimentant le National Vulnerability Database, soit un écart de 2,7 points entre autorités nationales.
Le NIST n’a pas encore publié sa propre évaluation, et un score distinct de 9,6 cité ailleurs ne correspond à aucune des sources nationales mentionnées.
Apple a mis en ligne son avis de sécurité le 6 août, créditant Alfredo Pesoli de Bynario. L’agence néerlandaise a publié une première alerte le 7 août, révisée le 12 août après la diffusion d’une preuve de concept publique et la confirmation d’abus en conditions réelles. Il s’est écoulé six jours entre le correctif et les premières exploitations observées.
