Criminosos estão explorando uma falha no Compartilhamento de Tela do macOS, já corrigida pela Apple, para obter acesso root e instalar mineradores de Monero (XMR), enquanto um agente de IA conseguiu desenvolver exploits funcionais em apenas quatro horas.
Principais pontos:
- Ataques exploram a CVE-2026-65400 em Macs expostos para obter acesso root e instalar mineradores de Monero.
- A Calif afirma que um agente de IA criou exploits funcionais para duas falhas remotas de root, antes da autenticação, em quatro horas.
- A Apple já corrigiu a vulnerabilidade, mas órgãos da Holanda e dos EUA divergem fortemente sobre a gravidade CVSS atribuída.
Exploit de Monero no macOS
O National Cyber Security Center holandês informou, em 12 de agosto, ter recebido relatos de exploração ativa da CVE-2026-65400 em Macs com a porta 5900 exposta à internet. Em todos os casos confirmados, o padrão observado foi o mesmo.
Segundo o órgão, “o root foi acessado” e “um minerador de criptomoeda Monero foi instalado”, enquanto a Apple descreve a falha como um problema de autenticação corrigido com melhoria no gerenciamento de estado no macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9.
O pesquisador de segurança osxreverser identificou cerca de 40 mil hosts de Compartilhamento de Tela acessíveis a partir da internet, quase metade deles nos Estados Unidos, muitos em conexões residenciais. O número de Macs comprometidos ainda é desconhecido. Até que o patch seja aplicado, usuários devem desativar o Compartilhamento de Tela ou bloquear a porta 5900.
Veja também: Anthropic supera OpenAI em US$ 25 bi com aceleração de receita
Exploit por IA da Calif
A Calif fez engenharia reversa da atualização emergencial da Apple e utilizou um agente de IA para produzir exploits funcionais para duas falhas remotas de root, exploráveis antes da autenticação. Todo o processo levou quatro horas. A empresa afirma estar retendo os detalhes técnicos da CVE-2026-65400 até que a maioria dos Macs esteja atualizada, por considerar que desenvolver o exploit foi fácil demais.
O Ars Technica destacou que o acesso root poderia ser usado para roubo de credenciais, e não apenas para mineração, embora até o momento não haja evidências públicas de abuso além de criptomineração.
O órgão holandês atribuiu à CVE-2026-65400 pontuação 7,1 no CVSS v3, enquanto a CISA, via programa de enriquecimento que alimenta o National Vulnerability Database, classificou a falha em 9,8 — uma diferença de 2,7 pontos entre agências nacionais.
O NIST ainda não publicou pontuação própria, e outro valor de 9,6 divulgado em algumas fontes não corresponde às avaliações oficiais citadas.
A Apple divulgou seu aviso em 6 de agosto, creditando Alfredo Pesoli da Bynario, enquanto o órgão holandês emitiu seu primeiro alerta em 7 de agosto e o revisou em 12 de agosto, após o surgimento de um proof of concept público e da confirmação de exploração ativa. O intervalo público entre a liberação do patch e os primeiros abusos conhecidos foi de seis dias.
Leia a seguir: Prejuízo de US$ 15 bi da Jane Street coloca foco em seus US$ 990 mi em ETFs de Bitcoin
