概要
macOSの標準リモートデスクトップ機能「画面共有(Screen Sharing)」に存在する認証バイパスの脆弱性CVE-2026-65400が実際の攻撃で悪用され、Monero(モネロ)の暗号資産マイナーを設置する事例が確認された。オランダの国家サイバーセキュリティセンター(NCSC)によると、画面共有が利用するTCPポート5900をインターネットに公開しているシステムで能動的な悪用が観測されており、攻撃者は正当な認証情報なしにroot権限を取得しているという。CVSSスコアは7.1で、Appleは8月6日付でmacOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9として修正版を配布済みだが、未適用の端末は依然としてリスクにさらされている。
技術的な詳細
画面共有機能はVNCプロトコルをベースにポート5900で通信を行う。今回の脆弱性は状態管理メカニズムの不備に起因し、正しい認証情報の検証を回避できてしまう問題だった。影響を受けるのはmacOS Tahoe 26.6.1以前、Sequoia 15.7.9以前、Sonoma 14.8.9以前で、Appleは修正版で認証試行時の状態管理を強化し、不正な認証試行を防止する対応を行った。攻撃者はこの欠陥を突いてroot権限を獲得し、複数のシステムにMoneroマイナーを配置していることが確認されている。現時点では攻撃の主目的は暗号資産マイニングにとどまっているが、専門家は今後マルウェア配布や認証情報窃取など、より深刻な悪用に発展する可能性も懸念している。
推奨される対策
Appleおよびセキュリティ専門家は、まず該当のセキュリティアップデートを速やかに適用することを推奨している。パッチ適用が困難な場合の緊急措置としては、「システム設定」→「一般」→「共有」から画面共有機能自体を無効化することが挙げられる。また、画面共有をどうしても利用する必要がある場合でも、ポート5900をインターネットに直接公開せず、VPNやSSHトンネリングを経由してアクセスするようネットワーク構成を見直すことが強く推奨されている。NCSCの報告以降、攻撃の開始時期や被害システムの規模、マイニング以外への悪用の有無といった詳細情報は明らかになっていないが、ポート5900が外部に露出したMacは引き続き標的になり得るため、継続的な警戒が必要とされている。