Appleが修正済みのmacOS「画面共有」機能の脆弱性を突き、攻撃者がroot権限を奪取して Monero (XMR) マイナーを仕込む攻撃が確認された。 一方で、AIエージェントは同脆弱性向けの実用エクスプロイトを4時間で生成しており、 パッチ公開から悪用までの時間が急速に短縮されている。
主なポイント
- インターネットに公開されたMacで、CVE-2026-65400を悪用してroot権限を奪い、Moneroマイナーを導入する攻撃が発生。
- Califによれば、AIエージェントは2件の認証前リモートrootバグに対し、4時間で動作するエクスプロイトを作成。
- Appleは脆弱性にパッチを提供済みだが、オランダと米当局のCVSS評価は大きく食い違っている。
Moneroを狙うmacOSエクスプロイト
オランダ国家サイバーセキュリティセンター（NCSC）は8月12日、 インターネット側にポート5900を公開しているMacを標的に、 CVE-2026-65400の積極的な悪用が報告されていると公表した。 確認された事例はいずれも、同じ攻撃パターンをたどっているという。
公表によると、いずれのケースでも「rootアカウントへのアクセスが行われ、 Monero暗号資産のマイナーが設置されていた」。Appleはこの不具合について、 macOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9において 「状態管理の改善による認証処理の不備の修正」で対応したと説明している。
セキュリティ研究者 osxreverser は、インターネットから到達可能な「画面共有」ホストが およそ4万台存在し、その約半数が米国内にあり、多くは家庭用回線で動いていると指摘。 実際に侵害されたMacの台数は不明なままだ。パッチを適用していないユーザーは、 画面共有を無効化するか、ポート5900を遮断することが推奨される。
関連記事: AnthropicがOpenAIを250億ドル上回る評価、収益成長が加速
CalifによるAIエクスプロイト生成
セキュリティ企業Califは、Appleの臨時アップデートをリバースエンジニアリングし、 AIエージェントを用いて2件の認証前リモートroot脆弱性向けに 実際に動作するエクスプロイトコードを自動生成した。所要時間は4時間だったという。
同社は、CVE-2026-65400について技術的詳細の公開を当面見送る方針を示している。 エクスプロイトがあまりに容易に作成できたため、多くのMacにパッチが行き渡るまで 情報拡散を抑制する必要があると判断したからだ。
テックメディアArs Technicaは、root権限が奪取されれば暗号資産マイニングだけでなく 資格情報窃取など幅広い悪用が可能になると指摘。ただし現時点で公表されている証拠は、 クリプトマイニング目的の悪用に限られているとしている。
評価割れるCVSSスコア
オランダNCSCはCVE-2026-65400をCVSS v3で7.1（高）と評価する一方、 米国のCISAは、米国家脆弱性データベース（NVD）向けの拡張プログラムを通じて 9.8（クリティカル）というスコアを割り当てた。両国機関の評価差は2.7ポイントに達する。
米国標準技術局（NIST）は独自スコアをまだ公開しておらず、 別途報じられている9.6という数値も、今回引用されている国家機関の評価とは一致しない。
公開から悪用まで「6日」のタイムライン
Appleは8月6日にアドバイザリを公表し、Bynarioの Alfredo Pesoli 氏を 脆弱性報告者としてクレジットした。オランダNCSCは8月7日に最初の注意喚起を発出し、 8月12日には、公開されたPoC（概念実証コード）と実際の悪用報告を受けて内容を更新した。
パッチ公開からPoC出回り、実際の攻撃確認までの「パッチ・トゥ・アビューズ」期間は わずか6日間にとどまったことになり、AIがエクスプロイト開発を加速させる現実を 浮き彫りにしている。
