애플이 이미 패치한 macOS 화면 공유(Screen Sharing) 취약점이 실제 공격에 이용되면서, 루트 권한 탈취 후 모네로(Monero) (XMR) 채굴기를 심는 사례가 확인됐다. 한편 한 보안사는 AI 에이전트가 단 4시간 만에 해당 취약점을 악용하는 동작 가능한 익스플로잇 코드를 만들어냈다고 밝혔다.
핵심 내용
- 공격자는 인터넷에 노출된 Mac의 CVE-2026-65400 취약점을 악용해 루트 권한을 획득한 뒤 모네로 채굴기를 설치하고 있다.
- Calif에 따르면, AI 에이전트는 사전 인증 없이 루트 권한을 탈취할 수 있는 두 개의 원격 취약점에 대한 동작 가능한 익스플로잇을 4시간 만에 만들어냈다.
- 애플은 해당 취약점을 패치했지만, 네덜란드와 미국 당국은 CVSS 심각도 평가에서 큰 견해 차이를 보이고 있다.
모네로 노리는 macOS 취약점 공격
네덜란드 국가사이버보안센터(NCSC)는 8월 12일 발표에서, 인터넷에 포트 5900을 개방한 Mac을 대상으로 CVE-2026-65400 취약점이 실제 악용되고 있다는 보고를 받았다고 밝혔다. 확인된 사례는 모두 동일한 침해 패턴을 보였다.
네덜란드 NCSC는 모든 사례에서 “루트 계정이 침해됐고” “모네로 암호화폐 채굴기가 설치됐다”고 설명했다. 애플은 이 버그를 인증 절차상의 문제로 규정하고, macOS Tahoe 26.6.1, Sequoia 15.7.9, Sonoma 14.8.9에서 상태 관리 개선을 통해 수정했다고 공지했다.
보안 연구원 osxreverser는 인터넷에서 직접 접근 가능한 화면 공유 호스트가 약 4만 대에 달하며, 이 중 절반 가까이가 미국에 있고 상당수가 가정용 회선에 연결되어 있다고 짚었다. 실제로 얼마나 많은 Mac이 이미 감염됐는지는 아직 파악되지 않았다. 패치를 적용하기 전까지는 화면 공유 기능을 끄거나 포트 5900을 차단하는 것이 권고된다.
관련 기사: Anthropic, 매출 가속에 OpenAI 시가총액 격차 250억달러로 벌려
Calif, AI 이용해 4시간 만에 익스플로잇 제작
보안업체 Calif는 애플의 긴급 패치를 역분석한 뒤, AI 에이전트를 활용해 사전 인증 없이 원격에서 루트 권한을 탈취할 수 있는 두 개의 취약점에 대한 동작 가능한 익스플로잇을 제작했다고 밝혔다. 이 전 과정에 소요된 시간은 약 4시간에 불과했다.
Calif는 CVE-2026-65400에 대한 구체적인 기술 세부 정보는 상당수 Mac이 패치되기 전까지 공개하지 않겠다고 했다. AI가 워낙 손쉽게 악용 코드를 만들어낸 만큼, 세부 정보 공개가 추가 악용을 부추길 수 있다는 판단에서다.
기술 매체 Ars Technica는 이 같은 루트 권한이 단순 채굴을 넘어, 자격 증명 탈취 등 더 은밀한 공격에 활용될 수 있다고 지적했다. 현재까지 공개적으로 확인된 악용은 암호화폐 채굴 외에는 보고되지 않았지만, 공격 범위가 확대될 여지는 남아 있다.
국가별 CVSS 평가도 ‘엇박자’
네덜란드 NCSC는 CVE-2026-65400의 CVSS v3 점수를 7.1(‘높음’)로 책정했다. 반면 미국 CISA는 국가 취약점 데이터베이스(NVD)에 연계되는 보강 프로그램을 통해 이 취약점에 9.8(‘치명적’)을 부여했다. 두 국가 기관 간 평가 차이가 2.7포인트에 달하는 셈이다.
미국 NIST는 아직 자체 점수를 내지 않았다. 일부 매체에서 언급된 9.6이라는 별도 점수는 이들 국가 기관이 제시한 공식 수치와도 일치하지 않는다.
패치에서 악용까지 ‘6일’
애플은 8월 6일 보안 권고를 공개하며, 취약점 제보 공로를 Bynario의 Alfredo Pesoli에게 돌렸다. 네덜란드 NCSC는 8월 7일 첫 경고를 냈고, 이후 공개된 PoC(개념증명 코드)와 실제 악용 보고를 반영해 8월 12일 경고를 수정·보강했다.
결과적으로 패치 공개에서 공개 PoC 등장, 그리고 실제 악용 확인까지 이어진 이른바 ‘패치-악용 타임라인’은 불과 6일에 그쳤다. AI가 익스플로잇 개발 시간을 단축시키면서, 보안 패치 후 사용자와 기업이 대응할 수 있는 시간적 여유는 더 좁아지고 있다.
