Tin tặc đang lợi dụng một lỗ hổng trong tính năng Screen Sharing của macOS – vốn đã được Apple phát hành bản vá – để giành quyền root và cài đặt trình đào Monero (XMR), trong khi một tác nhân AI đã xây dựng được mã khai thác hoạt động chỉ trong bốn giờ.
Những điểm chính:
- Tin tặc đang lạm dụng CVE-2026-65400 trên các máy Mac lộ ra internet để giành quyền root và cài trình đào Monero.
- Calif cho biết một tác nhân AI đã tạo được mã khai thác hoạt động cho hai lỗi root từ xa trước xác thực chỉ trong bốn giờ.
- Apple đã vá lỗ hổng, song cơ quan Hà Lan và Mỹ lại đánh giá rất khác nhau về mức độ nghiêm trọng CVSS.
Khai thác Monero trên macOS
Trung tâm An ninh mạng Quốc gia Hà Lan (NCSC) cho biết ngày 12/8 rằng họ đã ghi nhận các báo cáo khai thác thực tế CVE-2026-65400 trên những máy Mac mở cổng 5900 ra internet. Mọi trường hợp được xác nhận đều có cùng một kịch bản tấn công.
Cơ quan này nêu rõ “quyền root đã bị chiếm dụng” và “một trình đào tiền số Monero đã được cài đặt”, trong khi Apple mô tả đây là lỗi xác thực và cho biết đã khắc phục bằng cách cải thiện quản lý trạng thái trong macOS Tahoe 26.6.1, Sequoia 15.7.9 và Sonoma 14.8.9.
Nhà nghiên cứu bảo mật osxreverser ước tính khoảng 40.000 máy chủ Screen Sharing có thể truy cập trực tiếp từ internet, gần một nửa đặt tại Mỹ, nhiều thiết bị dùng kết nối dân dụng. Số lượng máy Mac đã bị xâm nhập hiện chưa được xác định. Cho đến khi cập nhật bản vá, người dùng được khuyến nghị tắt Screen Sharing hoặc chặn cổng 5900.
Đọc thêm: Anthropic vượt OpenAI 25 tỷ USD khi doanh thu tăng tốc
Khai thác AI của Calif
Công ty bảo mật Calif đã dịch ngược bản cập nhật ngoài chu kỳ (out-of-band) của Apple và sử dụng một tác nhân AI để tạo mã khai thác hoạt động cho hai lỗi root từ xa trước bước xác thực. Toàn bộ quy trình chỉ mất bốn giờ. Do việc tạo khai thác diễn ra “quá dễ dàng”, công ty cho biết sẽ giữ lại chi tiết kỹ thuật về CVE-2026-65400 cho đến khi phần lớn máy Mac được cập nhật.
Ars Technica lưu ý quyền root có thể bị lạm dụng để đánh cắp thông tin định danh, không chỉ để đào tiền số; hiện chưa có bằng chứng công khai cho thấy hành vi lạm dụng vượt ra ngoài hoạt động đào tiền số.
Cơ quan Hà Lan đánh giá CVE-2026-65400 ở mức 7,1 theo chuẩn CVSS v3, trong khi CISA (Mỹ) chấm 9,8 thông qua chương trình làm giàu dữ liệu phục vụ Cơ sở dữ liệu Lỗ hổng Quốc gia (NVD), tạo ra khoảng cách 2,7 điểm giữa hai cơ quan quốc gia.
NIST đến nay chưa công bố điểm số riêng, và con số 9,6 được trích dẫn ở nơi khác không trùng khớp với bất kỳ nguồn chính thức nào nói trên.
Apple phát hành khuyến cáo bảo mật ngày 6/8 và ghi nhận công lao của Alfredo Pesoli thuộc Bynario. Cơ quan Hà Lan lần đầu cảnh báo hôm 7/8 và cập nhật khuyến cáo ngày 12/8 sau khi xuất hiện mã khai thác minh chứng khái niệm công khai (PoC) và ghi nhận tấn công thực tế. Khoảng thời gian từ lúc bản vá được công bố đến khi bị khai thác rộng rãi trên thực tế chỉ kéo dài sáu ngày.
Bài tiếp theo: Khoản lỗ 15 tỷ USD của Jane Street khiến danh mục ETF Bitcoin 990 triệu USD bị soi kỹ
