Atacantes estão a explorar uma vulnerabilidade no Screen Sharing do macOS, já corrigida pela Apple, para obter acesso root e instalar miners de Monero (XMR), enquanto um agente de IA conseguiu desenvolver exploits funcionais em apenas quatro horas.
Principais pontos:
- Criminosos estão a abusar da CVE-2026-65400 em Macs expostos para obter privilégios de root e instalar miners de Monero.
- A empresa Calif afirma que um agente de IA produziu exploits operacionais para duas falhas remotas de root, pré-autenticação, em quatro horas.
- A Apple já corrigiu a falha, mas autoridades dos Países Baixos e dos EUA divergem de forma acentuada na classificação CVSS.
Exploit de Monero no macOS
O National Cyber Security Center neerlandês informou a 12 de agosto que recebeu relatos de exploração ativa da CVE-2026-65400 em Macs com a porta 5900 exposta à internet. Em todos os casos confirmados, o padrão foi idêntico.
Segundo a agência, “o acesso root foi obtido” e “um miner de criptomoeda Monero foi colocado”, enquanto a Apple descreve o bug como um problema de autenticação corrigido com uma melhor gestão de estados no macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9.
O investigador de segurança osxreverser indicou que cerca de 40.000 hosts com Screen Sharing estavam acessíveis a partir da internet, quase metade deles nos Estados Unidos, muitos em ligações residenciais. O número de Macs comprometidos permanece desconhecido. Até aplicarem o patch, os utilizadores devem desativar o Screen Sharing ou bloquear a porta 5900.
Veja também: Anthropic ultrapassa OpenAI em 25 mil milhões de dólares com aceleração de receitas
Exploit com IA da Calif
A Calif fez engenharia reversa do update extraordinário da Apple e recorreu a um agente de IA para gerar exploits funcionais para duas falhas distintas de root remoto, antes da autenticação. Todo o processo demorou quatro horas. A empresa afirma que está a reter detalhes técnicos da CVE-2026-65400 até que a maioria dos Macs esteja atualizada, por considerar que criar o exploit foi demasiado simples.
O Ars Technica salientou que o acesso root também pode ser utilizado para roubo de credenciais, e que, até ao momento, não há provas públicas de abuso para além da criptomineração.
A agência neerlandesa atribui à CVE-2026-65400 uma pontuação de 7,1 no CVSS v3, enquanto a CISA lhe dá 9,8 através do programa de enriquecimento que alimenta a National Vulnerability Database, um desvio de 2,7 pontos entre autoridades nacionais.
O NIST ainda não publicou a sua própria pontuação, e um valor de 9,6 citado noutros locais não coincide com as referências oficiais.
A Apple divulgou o seu aviso de segurança a 6 de agosto, creditando Alfredo Pesoli da Bynario. Já a agência neerlandesa emitiu o primeiro alerta a 7 de agosto e atualizou-o a 12 de agosto, após surgir um proof of concept público e serem confirmados casos de exploração ativa. O intervalo público entre patch e abuso foi, assim, de seis dias.
Leia a seguir: Perda de 15 mil milhões da Jane Street põe em destaque os seus 990 milhões em ETFs de Bitcoin
