Appleが修正したmacOSの画面共有機能の脆弱性を悪用し、攻撃者がroot権限を奪取して暗号資産Monero (XMR)のマイナーをインストールする事案が確認されている。一方、この欠陥に対し、AIエージェントがわずか4時間で実用的なエクスプロイトコードを生成していたことも判明した。
主なポイント
- 公開ポート5900を持つMacを標的に、CVE-2026-65400を突いてroot権限を取得しMoneroマイナーを導入する攻撃が観測されている。
- Califによると、AIエージェントは2件の認証前リモートroot脆弱性に対し、4時間で動作するエクスプロイトを自動生成した。
- Appleはすでに脆弱性を修正済みだが、CVSS評価をめぐりオランダと米国当局の見解が大きく割れている。
Moneroマイナーを仕込むmacOSエクスプロイト
オランダ国家サイバーセキュリティセンター（NCSC-NL）は8月12日、インターネット上にポート5900（Screen Sharing）を開放しているMacを標的として、CVE-2026-65400の悪用が確認されたと公表した。報告された侵害事例はいずれも、ほぼ同一のパターンに従っていたという。
NCSC-NLによれば、いずれのケースでも「rootアカウントが侵害され」「Moneroの暗号資産マイナーが設置されていた」。Apple側はこの不具合を、macOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9において「状態管理の改善」により解消した認証処理の問題だと説明している。
セキュリティ研究者osxreverserは、インターネットから到達可能なScreen Sharingホストが約4万台存在し、その約半数が米国内、かつ多くが家庭用回線で稼働していると指摘する。現時点で何台が実際に侵害されたかは不明だ。パッチが適用されるまでの暫定措置として、ユーザーにはScreen Sharingを無効化するか、ポート5900をファイアウォールで遮断することが推奨されている。
関連記事: AnthropicがOpenAIを時価総額で250億ドル上回る 収益加速で評価急騰
CalifによるAIエクスプロイト生成
セキュリティ企業Califは、Appleが緊急公開した更新プログラムをリバースエンジニアリングし、2つの認証前リモートroot脆弱性に対するエクスプロイトの自動生成をAIエージェントに試みた。その結果、約4時間で実用レベルのエクスプロイトコードが完成したという。
同社は、CVE-2026-65400については「再現があまりに容易」であることを理由に、ほとんどのMacにパッチが行き渡るまで技術的詳細の公開を見送るとしている。
テクノロジーメディア「Ars Technica」は、root権限を得た攻撃者はマイニングだけでなく、資格情報窃取などより静かな攻撃にも踏み切れると指摘。ただし現時点では、暗号資産マイニング以外の悪用を裏付ける公的な証拠は出ていない。
オランダ当局はCVE-2026-65400のCVSS v3スコアを7.1（高）とする一方、米サイバーセキュリティ・インフラ安全保障局（CISA）は国家脆弱性データベース（NVD）向け拡張プログラムを通じて9.8（クリティカル）と評価しており、国別当局間で2.7ポイントものギャップが生じている。
米国標準技術研究所（NIST）は自らのスコアをまだ提示しておらず、他所で報じられている9.6という数値も、今回引用された国家当局の評価とは整合しない。
Appleは8月6日にセキュリティアドバイザリを公開し、脆弱性の発見者としてBynarioのAlfredo Pesoli氏にクレジットを付した。NCSC-NLは8月7日に初回警告を出し、その後、概念実証コードが一般公開され実際の悪用も確認されたことを受けて、8月12日に情報を更新した。パッチ公開から広範な悪用確認まで、表に見えるタイムラインは6日間に過ぎない。
