กลุ่มผู้โจมตีกำลังใช้ช่องโหว่ในฟีเจอร์ Screen Sharing ของ macOS ที่ Apple เพิ่งออกแพตช์แก้ไข เพื่อยกระดับสิทธิ์เป็น root และติดตั้งนักขุดเหรียญคริปโท Monero (XMR) ขณะเดียวกัน บริษัทด้านความปลอดภัยรายหนึ่งเผยว่าเอเจนต์เอไอสามารถพัฒนาโค้ดโจมตีทำงานได้จริงภายในราว 4 ชั่วโมงเท่านั้น
ประเด็นสำคัญ
- ผู้โจมตีกำลังใช้ช่องโหว่ CVE-2026-65400 บนเครื่อง Mac ที่เปิดให้เข้าถึงจากอินเทอร์เน็ต เพื่อยึดสิทธิ์ root และติดตั้งนักขุด Monero
- Calif เปิดเผยว่าเอเจนต์เอไอสามารถสร้างโค้ดโจมตีช่องโหว่ยกระดับสิทธิ์เป็น root แบบไม่ต้องยืนยันตัวตนล่วงหน้า ได้ 2 ช่องโหว่ ภายใน 4 ชั่วโมง
- Apple ปล่อยแพตช์อุดช่องโหว่แล้ว ขณะที่หน่วยงานไซเบอร์ของเนเธอร์แลนด์และสหรัฐฯ ให้คะแนนความรุนแรง CVSS ต่างกันอย่างมีนัยสำคัญ
ช่องโหว่ Monero บน macOS
ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของเนเธอร์แลนด์ (NCSC) เปิดเผย เมื่อวันที่ 12 ส.ค. ว่าได้รับรายงานการโจมตีช่องโหว่ CVE-2026-65400 อย่างต่อเนื่อง บนเครื่อง Mac ที่เปิดพอร์ต 5900 (Screen Sharing) ออกสู่อินเทอร์เน็ต โดยทุกกรณีที่ยืนยันได้มีรูปแบบการโจมตีคล้ายกันทั้งหมด
หน่วยงานระบุว่า “มีการเข้าถึงสิทธิ์ root” และ “มีการติดตั้งนักขุดคริปโท Monero ลงในระบบ” ขณะที่ฝั่ง Apple อธิบายช่องโหว่นี้ว่าเป็นปัญหาด้านการยืนยันตัวตน (authentication issue) ซึ่งได้รับการแก้ไขด้วยการปรับปรุงการจัดการสถานะ (state management) ใน macOS Tahoe 26.6.1, Sequoia 15.7.9 และ Sonoma 14.8.9
นักวิจัยความปลอดภัยนามแฝง osxreverser เปิดเผยว่ามีโฮสต์ Screen Sharing ที่เข้าถึงได้จากอินเทอร์เน็ตราว 40,000 เครื่อง เกือบครึ่งอยู่ในสหรัฐฯ และจำนวนไม่น้อยเป็นการเชื่อมต่อผ่านเครือข่ายตามบ้าน ปัจจุบันยังไม่ทราบแน่ชัดว่ามี Mac ถูกเจาะแล้วกี่เครื่อง ก่อนอัปเดตแพตช์ ผู้ใช้ควรปิดการใช้งาน Screen Sharing หรือบล็อกการเข้าถึงพอร์ต 5900 ชั่วคราว
อ่านเพิ่มเติม: Anthropic แซง OpenAI มูลค่าสูงกว่าราว 25,000 ล้านดอลลาร์ หนุนด้วยรายได้ที่เร่งตัว
เอไอของ Calif สร้างโค้ดโจมตี
บริษัทด้านความปลอดภัย Calif ทำรีเวิร์สเอนจิเนียร์อัปเดตนอกวาระ (out-of-band update) ของ Apple แล้วใช้เอเจนต์เอไอช่วยพัฒนาโค้ดโจมตีสำหรับช่องโหว่ยกระดับสิทธิ์เป็น root ระยะไกลแบบไม่ต้องยืนยันตัวตนล่วงหน้า จำนวน 2 จุด โดยใช้เวลาเพียง 4 ชั่วโมงก็ได้โค้ดโจมตีที่ทำงานได้จริง
บริษัทระบุว่าจะยังไม่เปิดเผยรายละเอียดเทคนิคเชิงลึกของ CVE-2026-65400 จนกว่าจะประเมินได้ว่าส่วนใหญ่ของเครื่อง Mac ได้รับการอัปเดตแล้ว เหตุผลสำคัญคือการสร้างโค้ดโจมตีทำได้ง่ายเกินไป และเสี่ยงถูกนำไปใช้โจมตีวงกว้าง
สื่อด้านเทคโนโลยี Ars Technica ชี้ว่า การได้สิทธิ์ root สามารถถูกนำไปใช้ขโมยข้อมูลรับรองการล็อกอิน หรือทำกิจกรรมที่อันตรายกว่าการขุดคริปโทได้ แม้ในตอนนี้ยังไม่มีหลักฐานสาธารณะว่ามีการนำช่องโหว่ไปใช้ในรูปแบบอื่น นอกเหนือจากการขุดคริปโทก็ตาม
ฝั่งหน่วยงานประเมินความเสี่ยงให้คะแนนต่างกันอย่างชัดเจน NCSC ของเนเธอร์แลนด์ให้คะแนน CVSS v3 แก่ช่องโหว่นี้ที่ 7.1 ขณะที่ CISA ของสหรัฐฯ ให้คะแนนสูงถึง 9.8 ผ่านโปรแกรม enrichment ที่เชื่อมต่อกับ National Vulnerability Database ส่งผลให้คะแนนของสองหน่วยงานต่างกันถึง 2.7 คะแนน
ด้าน NIST ยังไม่ได้ออกคะแนนประเมินของตนเอง ขณะที่ตัวเลข 9.6 ที่มีการอ้างอิงในบางแหล่งก็ไม่สอดคล้องกับคะแนนจากหน่วยงานรัฐที่ถูกอ้างในข่าว
Apple เผยแพร่คำแนะนำด้านความปลอดภัยเมื่อวันที่ 6 ส.ค. และให้เครดิตการค้นพบแก่ Alfredo Pesoli จากบริษัท Bynario ขณะเดียวกัน NCSC ของเนเธอร์แลนด์ออกคำเตือนฉบับแรกเมื่อ 7 ส.ค. และปรับปรุงคำเตือนเมื่อ 12 ส.ค. หลังมีโค้ดตัวอย่างการโจมตีแบบสาธารณะ (proof of concept) และมีรายงานการโจมตีจริง ซึ่งทำให้เส้นเวลา “จากแพตช์ถึงการโจมตี” ครั้งนี้กินเวลาราว 6 วันเท่านั้น
อ่านต่อ: ขาดทุน 15,000 ล้านดอลลาร์ของ Jane Street ดึงความสนใจสู่พอร์ต ETF บิตคอยน์ 990 ล้านดอลลาร์
