Attori malevoli stanno sfruttando una vulnerabilità nella Condivisione schermo di macOS – già corretta da Apple – per ottenere privilegi di root e installare miner di Monero (XMR), mentre un agente di intelligenza artificiale è riuscito a generare exploit funzionanti in appena quattro ore.
Punti chiave:
- Gli attaccanti stanno abusando di CVE-2026-65400 su Mac esposti per ottenere accesso root e installare miner Monero.
- Calif riferisce che un agente AI ha prodotto exploit funzionanti per due bug root pre‑autenticazione in quattro ore.
- Apple ha già rilasciato la patch, mentre le agenzie olandesi e statunitensi forniscono valutazioni CVSS molto divergenti.
Exploit Monero su macOS
Il National Cyber Security Center olandese ha annunciato il 12 agosto di aver ricevuto segnalazioni di sfruttamento attivo di CVE-2026-65400 su Mac che espongono la porta 5900 su internet. Tutti i casi confermati seguono lo stesso schema.
Secondo l’agenzia “era stato ottenuto l’accesso root” e “era stato installato un crypto miner Monero”, mentre Apple descrive la vulnerabilità come un problema di autenticazione corretto tramite una migliore gestione dello stato in macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9.
Il ricercatore di sicurezza osxreverser ha stimato in circa 40.000 gli host di Condivisione schermo raggiungibili da internet, quasi la metà negli Stati Uniti, molti su connessioni domestiche. Il numero di Mac compromessi resta sconosciuto. In attesa della patch, gli utenti sono invitati a disattivare la Condivisione schermo o bloccare la porta 5900.
Da leggere anche: Anthropic supera OpenAI di 25 miliardi di dollari con la crescita dei ricavi
Exploit AI di Calif
La società Calif ha eseguito il reverse engineering dell’aggiornamento straordinario di Apple e ha utilizzato un agente AI per generare exploit funzionanti per due diverse vulnerabilità remote di tipo root, sfruttabili prima dell’autenticazione. L’intero processo ha richiesto quattro ore. L’azienda ha dichiarato che tratterrà i dettagli tecnici relativi a CVE-2026-65400 finché la maggior parte dei Mac non sarà aggiornata, poiché creare l’exploit si è rivelato “troppo semplice”.
Ars Technica ha osservato che l’accesso root potrebbe essere sfruttato anche per furto di credenziali, non solo per il mining, e che al momento non esistono prove pubbliche di abusi oltre alle attività di cryptomining.
L’agenzia olandese assegna a CVE-2026-65400 un punteggio di 7,1 secondo il CVSS v3, mentre CISA lo valuta 9,8 tramite il programma di “enrichment” che alimenta il National Vulnerability Database: uno scostamento di 2,7 punti tra autorità nazionali.
NIST non ha ancora pubblicato una propria valutazione, e un punteggio separato di 9,6 circolato altrove non coincide con le fonti ufficiali citate.
Apple ha pubblicato il proprio bollettino il 6 agosto, attribuendo il merito della segnalazione ad Alfredo Pesoli di Bynario. L’agenzia olandese ha diffuso il primo avviso il 7 agosto e lo ha aggiornato il 12 agosto, dopo la pubblicazione di un proof‑of‑concept pubblico e le prime conferme di sfruttamento attivo. Il passaggio dalla patch all’abuso documentato è avvenuto nell’arco di sei giorni.
Prossimo articolo: I 15 miliardi di perdite di Jane Street mettono sotto i riflettori i suoi 990 milioni in ETF Bitcoin
