ハッカーがAppleのmacOS「画面共有」機能の脆弱性を突き、インターネットからアクセス可能なMacでroot権限を奪取し、Monero (XMR) のマイニングソフトを仕込んでいる。
主なポイント
- オランダ当局は、ポート5900で画面共有を公開しているMacに対し、CVE-2026-65400の悪用が確認されたと発表。
- 攻撃者はroot権限を取得したうえでMoneroマイナーをインストールしており、すでに公開PoCコードも存在。
- AppleはmacOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9で本脆弱性を修正済み。
macOSを狙ったMoneroマイニング攻撃
オランダ国家サイバーセキュリティセンター（NCSC）は8月12日、複数のMacで同一の攻撃が確認されたと発表した。いずれの端末もポート5900で画面共有をインターネットに公開しており、攻撃者はroot権限を奪取した後、Moneroのマイニングソフトをインストールしていたという。
この脆弱性はCVE-2026-65400として追跡されており、CVSSスコアは7.1（高危険度）。画面共有の認証処理における状態管理の不備が原因で、正しいパスワード入力なしに認証を突破できる。
Appleは検証ロジックを強化し、8月6日にmacOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9向けの修正プログラムを配信した。NCSCによれば、すでに公開されたPoC（概念実証）コードが出回っており、画面共有をインターネットへ開放したままのシステムに対する攻撃ハードルは大きく低下している。パッチ未適用のMacは依然として危険な状態にある。
関連記事: ヴィタリック・ブテリン、イーサリアム決済証明のためのビットコイン型128KBモデルを支持
Moneroを狙うクリプトジャッキングの脅威
今回の一連の攻撃は、クリプトジャッキングと呼ばれる手口に分類される。他人のコンピュータ資源を無断で使って暗号資産をマイニングし、その報酬だけを攻撃者が受け取る仕組みで、電気代やハードウェアの負荷といったコストはすべて被害者側が負う。
Moneroがこうした不正マイニングの標的として選ばれやすいのは、強力なプライバシー機能により、送金の追跡がビットコインなど透明性の高いブロックチェーンよりも格段に難しいためだ。
これにより攻撃者は、乗っ取った端末に長期的にアクセスし続けることで得られるマイニング収益を、追跡されにくい形で現金化できる。
セキュリティ企業のBitdefenderは最近、海賊版の「The Odyssey」にLumma Stealerが仕込まれていた事例を報告したほか、偽CAPTCHAページ、SparkKittyと称するモバイルアプリ、ゲーム関連の壁紙、改ざんされたPythonパッケージを悪用したキャンペーンも確認されている。一部の攻撃では、悪性ページの配信にBNB Chainが利用されるケースもあった。攻撃手法は次々と変化している。
クリプトジャッキングは、被害者のウォレットから直接資金を盗まずとも、多数のデバイスにマイナーをばらまくことで収益を得られるため、Moneroを中心に繰り返し観測されてきた。入口となる侵入経路こそ異なるものの、「端末を侵害し、リソースを搾取し、マイニング報酬を攻撃者のアドレスに流す」というビジネスモデル自体は一貫している。
