애플(Apple)이 이미 패치한 macOS 스크린 공유(Screen Sharing) 취약점을 노린 공격이 실제로 발생해, 공격자가 루트 권한을 탈취한 뒤 모네로(Monero) (XMR) 채굴기를 설치하는 사례가 확인됐다. 한편 보안업체 Calif는 AI 에이전트가 이 취약점에 대한 실질적인 익스플로잇을 불과 4시간 만에 만들어 냈다고 밝혔다.
핵심 내용
- 공격자는 인터넷에 노출된 맥에서 CVE-2026-65400을 악용해 루트 권한을 획득한 뒤 모네로 채굴기를 설치하고 있다.
- Calif는 AI 에이전트가 사전 인증 없이 원격 루트 권한을 얻을 수 있는 두 개의 취약점에 대한 익스플로잇을 4시간 만에 만들어냈다고 밝혔다.
- 애플은 해당 결함을 이미 패치했지만, 네덜란드와 미국 당국은 CVSS 심각도 평가에서 큰 온도 차를 보이고 있다.
모네로 노리는 macOS 취약점 익스플로잇
네덜란드 국가사이버보안센터는 8월 12일 공지를 통해, 인터넷에 포트 5900을 개방한 맥을 대상으로 CVE-2026-65400이 실제 악용되고 있다고 밝혔다. 보고된 모든 사례는 동일한 공격 패턴을 보였다.
네덜란드 기관에 따르면 공격이 발생한 시스템에서는 “root 계정이 접근됐으며” “모네로 암호화폐 채굴 프로그램이 설치됐다”. 애플은 이 취약점을 인증 문제로 분류했으며, macOS Tahoe 26.6.1, Sequoia 15.7.9, Sonoma 14.8.9에서 상태 관리 개선을 통해 문제를 해결했다고 설명했다.
보안 연구원 osxreverser는 인터넷에서 직접 연결 가능한 스크린 공유 호스트가 약 4만 대에 이르며, 이 가운데 절반 가까이가 미국에, 상당수가 가정용 회선에 연결돼 있다고 지적했다. 실제로 손상된 맥의 규모는 아직 파악되지 않았다. 패치 적용 전까지는 스크린 공유 기능을 비활성화하거나 포트 5900을 차단하는 것이 권고된다.
또 읽어보기: Anthropic, 매출 가속에 OpenAI 시가총액 250억달러 앞서
Calif, AI로 만든 macOS 익스플로잇
Calif는 애플의 긴급 보안 업데이트를 리버스 엔지니어링한 뒤, AI 에이전트를 활용해 두 개의 사전 인증 원격 루트 취약점에 대한 동작 가능한 익스플로잇 코드를 생성했다. 전체 과정은 약 4시간이 소요됐다. Calif는 CVE-2026-65400의 기술적 세부 정보는 대부분의 맥이 패치될 때까지 공개하지 않겠다고 밝혔다. 익스플로잇 제작이 지나치게 용이하다는 이유에서다.
IT 매체 Ars Technica는 루트 권한이 단순 채굴뿐 아니라 인증 정보 탈취 등 보다 은밀한 공격에도 악용될 수 있다고 경고했다. 다만 현재까지는 암호화폐 채굴을 넘어선 악용 사례를 뒷받침하는 공개 증거는 없다고 덧붙였다.
네덜란드 기관은 CVE-2026-65400에 대해 CVSS v3 기준 7.1점을 매긴 반면, 미국 CISA는 국가 취약점 데이터베이스(NVD)에 제공되는 보강 프로그램(enrichment program)을 통해 9.8점으로 평가했다. 두 국가 기관 간 평가 격차는 2.7점에 이른다.
미국 NIST는 아직 자체 점수를 내지 않았으며, 일부에서 언급되는 9.6점이라는 수치는 양국의 공식 평가와 일치하지 않는 것으로 보인다.
애플은 8월 6일 보안 권고문을 발표하며 Bynario의 Alfredo Pesoli에게 공로를 돌렸다. 네덜란드 기관은 8월 7일 첫 번째 경고를 낸 뒤, 공개 개념증명(Proof of Concept)이 등장하고 실제 악용 보고가 이어지자 8월 12일 내용을 수정했다. 공개 패치에서 실제 악용까지 이어진 ‘패치–악용’ 타임라인은 고작 6일에 불과했다.
