Mac-Lücke wird aktiv ausgenutzt: Angreifer erhalten Root-Zugriff
Eine Sicherheitslücke in der Bildschirmfreigabe von macOS wird nach Angaben des niederländischen National Cyber Security Centre aktiv für Angriffe genutzt. Betroffen sind nicht aktualisierte Macs, deren Bildschirmfreigabe über Port 5900 aus dem Internet erreichbar ist. In den bislang bekannten Fällen verschafften sich die Angreifer Root-Zugriff und installierten anschließend einen Monero-Kryptominer.
- CVE-2026-65400 betrifft die Bildschirmfreigabe von macOS
- Angriffe auf Systeme mit öffentlich erreichbarem Port 5900 wurden bestätigt
- Angreifer erlangten Root-Zugriff und installierten Monero-Miner
- Apple hat Updates für macOS Tahoe, Sequoia und Sonoma veröffentlicht
- Nicht benötigte Bildschirmfreigabe sollte deaktiviert werden
Angreifer können Anmeldung umgehen
Die Schwachstelle wird unter der Kennung CVE-2026-65400 geführt und steckt in der Screen-Sharing-Funktion von macOS. Apple zufolge kann sich ein Angreifer aus dem Netzwerk unter bestimmten Voraussetzungen bei der Bildschirmfreigabe authentifizieren, ohne über gültige Zugangsdaten zu verfügen.
Ursache ist ein Fehler bei der Verwaltung des Zustands während des Authentifizierungsvorgangs. Apple hat die entsprechende Logik nach eigenen Angaben überarbeitet, damit Anmeldeinformationen korrekt geprüft werden.
Besonders problematisch ist die Schwachstelle, wenn die Bildschirmfreigabe aktiviert und der dafür verwendete Port 5900 direkt aus dem Internet erreichbar ist. Das niederländische NCSC berichtet von mehreren betroffenen Systemen. In sämtlichen gemeldeten Fällen hätten die Angreifer Root-Zugriff erhalten und einen Monero-Miner auf dem Mac installiert.
„Root“ bezeichnet unter Unix-basierten Betriebssystemen wie macOS das Benutzerkonto mit den umfassendsten Systemrechten. Wer Root-Rechte besitzt, kann weitreichende Änderungen am System vornehmen, auf geschützte Bereiche zugreifen und Software mit hohen Berechtigungen ausführen.
Updates für drei macOS-Versionen verfügbar
Apple hat die Sicherheitslücke bereits am 6. August geschlossen. Nutzer von macOS Tahoe sollten mindestens Version 26.6.1 installieren. Für macOS Sequoia steht Version 15.7.9 bereit, für macOS Sonoma Version 14.8.9.
Apple selbst beschreibt die Auswirkung zurückhaltender und spricht davon, dass sich ein Angreifer aus dem Netzwerk möglicherweise ohne gültige Zugangsdaten bei Screen Sharing anmelden kann. Die inzwischen vom NCSC dokumentierten Angriffe zeigen jedoch, dass die Schwachstelle praktisch ausgenutzt wird.
Die bekannten Angriffe beschränken sich derzeit auf die Installation von Software zum Schürfen der Kryptowährung Monero. Root-Rechte geben einem Angreifer allerdings weitreichende Kontrolle über das System und könnten grundsätzlich auch für andere Schadsoftware oder den Zugriff auf Daten genutzt werden.
Bildschirmfreigabe nur bei Bedarf aktivieren
Neben der Installation des Sicherheitsupdates empfiehlt es sich, die Bildschirmfreigabe zu deaktivieren, wenn sie nicht benötigt wird. Die Einstellung findet sich in macOS unter „Systemeinstellungen“, „Allgemein“ und „Freigaben“.
Vor allem sollte Port 5900 nicht ohne Not aus dem Internet erreichbar sein. Wer die Bildschirmfreigabe benötigt, sollte den Zugriff entsprechend absichern und die Funktion nach der Nutzung wieder deaktivieren.
