Atacantes estão a explorar uma vulnerabilidade no Screen Sharing do macOS já corrigida pela Apple para obter privilégios de root e instalar miners de Monero (XMR), enquanto um agente de IA conseguiu criar exploits funcionais em apenas quatro horas.
Principais pontos:
- Atacantes estão a abusar da CVE-2026-65400 em Macs expostos para obter acesso root e instalar miners de Monero.
- A Calif afirma que um agente de IA produziu exploits funcionais para duas falhas de root pré-autenticação em quatro horas.
- A Apple já corrigiu a falha, enquanto agências da Holanda e dos EUA divergem fortemente sobre a sua gravidade em termos de CVSS.
Exploit de Monero no macOS
A Dutch National Cyber Security Center informou em 12 de agosto que recebeu relatos de exploração ativa da CVE-2026-65400 em Macs com a porta 5900 exposta à internet. Todos os casos confirmados seguiram o mesmo padrão.
Segundo a entidade, “o root foi acedido” e “um miner de Monero foi instalado”, enquanto a Apple descreve o bug como um problema de autenticação, corrigido através de uma melhor gestão de estado no macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9.
O investigador de segurança osxreverser identificou cerca de 40.000 hosts de Screen Sharing acessíveis a partir da internet, quase metade nos Estados Unidos, muitos em ligações residenciais. O número de Macs comprometidos permanece desconhecido. Até aplicar a atualização, os utilizadores devem desativar o Screen Sharing ou bloquear a porta 5900.
Veja também: Anthropic ultrapassa OpenAI em US$ 25B com aceleração da receita
Exploit com IA da Calif
A Calif fez engenharia reversa da atualização extraordinária da Apple e recorreu a um agente de IA para gerar exploits funcionais para duas falhas remotas de root pré-autenticação distintas. O processo demorou quatro horas. A empresa afirma que está a reter os detalhes técnicos da CVE-2026-65400 até que a maioria dos Macs esteja atualizada, por considerar o exploit demasiado fácil de reproduzir.
O Ars Technica destacou que o acesso root também pode ser aproveitado para roubo de credenciais, e que, até ao momento, não há provas públicas de abuso além da criptomineração.
A entidade holandesa avalia a CVE-2026-65400 com uma pontuação de 7,1 no CVSS v3, enquanto a CISA atribuiu 9,8 através do programa que alimenta a National Vulnerability Database, revelando uma diferença de 2,7 pontos entre agências nacionais.
O NIST ainda não divulgou uma pontuação própria, e um valor separado de 9,6 reportado noutros locais não coincide com as fontes nacionais citadas.
A Apple publicou o seu aviso em 6 de agosto e creditou Alfredo Pesoli da Bynario, enquanto a agência holandesa emitiu o primeiro alerta em 7 de agosto e o atualizou em 12 de agosto, após surgir um proof of concept público e serem confirmados casos de exploração ativa. O intervalo público entre patch e abuso foi de seis dias.
Leia a seguir: Perda de US$ 15B da Jane Street coloca em foco seus US$ 990M em ETFs de Bitcoin
