Criminosos digitais estão explorando uma falha no Compartilhamento de Tela do macOS, já corrigida pela Apple, para obter acesso root e instalar mineradores de Monero (XMR), enquanto um agente de IA foi capaz de desenvolver exploits funcionais em apenas quatro horas.
Principais pontos:
- Criminosos exploram a CVE-2026-65400 em Macs expostos para obter acesso root e instalar mineradores de Monero.
- A Calif afirma que um agente de IA gerou exploits funcionais para duas falhas de root pré-autenticação em quatro horas.
- A Apple já corrigiu a falha, mas órgãos da Holanda e dos EUA divergem fortemente sobre a gravidade da vulnerabilidade no CVSS.
Exploit de Monero no macOS
O Centro Nacional de Segurança Cibernética da Holanda informou em 12 de agosto que recebeu relatos de exploração ativa da CVE-2026-65400 em Macs com a porta 5900 exposta à internet. Em todos os casos confirmados, o padrão observado foi o mesmo.
Segundo o órgão, “o root foi acessado” e “um cripto minerador de Monero foi instalado”, enquanto a Apple classifica o problema como uma falha de autenticação corrigida por meio de melhorias no gerenciamento de estado no macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9.
O pesquisador de segurança osxreverser identificou cerca de 40.000 hosts de Compartilhamento de Tela acessíveis pela internet, quase metade deles nos Estados Unidos, muitos em conexões residenciais. O número de Macs efetivamente comprometidos ainda é desconhecido. Até aplicar o patch, usuários devem desativar o Compartilhamento de Tela ou bloquear a porta 5900.
Veja também: Anthropic ultrapassa OpenAI em US$ 25 bi com aceleração de receita
Exploit com IA da Calif
A empresa Calif fez engenharia reversa da atualização emergencial da Apple e utilizou um agente de IA para gerar exploits funcionais para duas falhas distintas de root remoto pré-autenticação. Todo o processo levou quatro horas. A companhia afirma que está retendo detalhes técnicos da CVE-2026-65400 até que a maior parte do parque de Macs esteja atualizada, justamente porque a criação do exploit se mostrou simples demais.
A Ars Technica destacou que o acesso root pode ser usado para roubo de credenciais, não apenas para mineração de criptomoedas, e que, até o momento, não há evidência pública de abuso além dos casos de cryptomining.
A autoridade holandesa atribuiu nota 7,1 à CVE-2026-65400 no CVSS v3, enquanto a CISA, dos EUA, classificou a falha em 9,8 por meio do programa de enriquecimento que alimenta o National Vulnerability Database — uma diferença de 2,7 pontos entre órgãos nacionais.
O NIST ainda não publicou pontuação própria, e um valor de 9,6 reportado em outras fontes não coincide com as avaliações oficiais citadas.
A Apple divulgou seu comunicado em 6 de agosto, creditando a descoberta a Alfredo Pesoli, da Bynario. Já o órgão holandês emitiu seu primeiro alerta em 7 de agosto e o revisou em 12 de agosto, após a publicação de um exploit de prova de conceito e a confirmação de ataques em andamento. O intervalo público entre patch e exploração ativa foi de seis dias.
Próximo artigo: Prejuízo de US$ 15 bi da Jane Street coloca sob os holofotes seus US$ 990 mi em ETFs de Bitcoin
