Gli attaccanti stanno sfruttando una vulnerabilità di Screen Sharing in macOS, già corretta da Apple, per ottenere privilegi di root e installare miner di Monero (XMR), mentre un agente di intelligenza artificiale è riuscito a sviluppare exploit funzionanti in sole quattro ore.
Punti chiave
- Gli attaccanti stanno abusando della CVE-2026-65400 sui Mac esposti per ottenere accesso root e installare miner Monero.
- Calif afferma che un agente AI ha prodotto exploit funzionanti per due bug root pre-autenticazione in quattro ore.
- Apple ha già rilasciato la patch, mentre le agenzie olandesi e statunitensi divergono nettamente sulla gravità CVSS.
Exploit Monero su macOS
Il National Cyber Security Center olandese ha segnalato il 12 agosto di aver ricevuto riscontri di sfruttamento attivo della CVE-2026-65400 su Mac che espongono la porta 5900 su internet. Tutti i casi confermati seguono lo stesso schema.
L’agenzia ha riferito che “l’utente root era stato compromesso” e che “era stato installato un crypto miner Monero”, mentre Apple descrive il bug come un problema di autenticazione risolto tramite una migliore gestione dello stato in macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9.
Il ricercatore di sicurezza osxreverser ha indicato che circa 40.000 host con Screen Sharing attivo risultano raggiungibili da internet, quasi la metà negli Stati Uniti, molti su connessioni domestiche. Il numero effettivo di Mac compromessi resta ignoto. In attesa della patch, gli utenti sono invitati a disattivare Screen Sharing o a bloccare la porta 5900.
Leggi anche: Anthropic supera OpenAI di 25 miliardi di dollari con la crescita dei ricavi
Exploit AI di Calif
Calif ha effettuato il reverse engineering dell’aggiornamento fuori banda di Apple e ha utilizzato un agente AI per generare exploit funzionanti per due distinti bug di esecuzione remota con privilegi root, sfruttabili prima dell’autenticazione. L’intero processo ha richiesto quattro ore. La società ha dichiarato che per la CVE-2026-65400 tratterrà i dettagli tecnici finché la maggior parte dei Mac non sarà aggiornata, ritenendo troppo banale la produzione dell’exploit.
Ars Technica ha osservato che l’accesso root potrebbe essere sfruttato anche per il furto di credenziali, non solo per il mining, e che al momento non ci sono prove pubbliche di abusi oltre al cryptomining.
L’agenzia olandese valuta la CVE-2026-65400 con un punteggio di 7,1 secondo il CVSS v3, mentre la CISA statunitense le assegna 9,8 tramite il programma di arricchimento che alimenta il National Vulnerability Database: un divario di 2,7 punti tra le valutazioni nazionali.
Il NIST non ha ancora pubblicato un proprio punteggio, e un valore di 9,6 emerso altrove non coincide con le fonti ufficiali citate.
Apple ha pubblicato il proprio bollettino il 6 agosto, attribuendo la scoperta ad Alfredo Pesoli di Bynario, mentre l’agenzia olandese ha emesso il primo avviso il 7 agosto e lo ha aggiornato il 12 agosto, dopo la diffusione di un proof of concept pubblico e le prime segnalazioni di sfruttamento attivo. La finestra tra rilascio della patch e abuso pubblico è stata di sei giorni.
Da leggere dopo: La perdita da 15 miliardi di dollari di Jane Street riaccende i riflettori sui 990 milioni nel suo ETF Bitcoin
