Uma vulnerabilidade no Screen Sharing do macOS permitiu que atacantes ultrapassassem o processo normal de autenticação, obtivessem privilégios root e transformassem Macs acessíveis pela internet em máquinas de mineração de Monero.

A falha é identificada como CVE-2026-65400.

O National Cyber Security Centre da Holanda atualizou seu alerta em 12 de agosto depois de confirmar exploração ativa em vários sistemas.

Todos os casos descritos envolviam máquinas com a porta 5900 exposta à internet.

Depois da invasão, os atacantes instalaram software não autorizado para minerar XMR.

O problema está antes da senha

A característica mais perigosa da vulnerabilidade é que ela não depende de descobrir ou roubar a senha correta.

A falha ocorre durante o processo de autenticação.

Segundo a análise da Huntress, o problema está relacionado ao Secure Remote Password utilizado pelo Screen Sharing.

Um atacante consegue manipular o estado da conexão até que o sistema trate uma sessão não autenticada como legítima.

Por isso, algumas medidas que normalmente seriam recomendadas não resolvem o problema.

Trocar credenciais não elimina a vulnerabilidade

Alterar a senha do Screen Sharing não corrige CVE-2026-65400.

Remover contas autorizadas também não resolve.

Desabilitar apenas métodos VNC antigos continua insuficiente.

O defeito está em uma etapa anterior.

Um Mac vulnerável permanece exposto até receber a atualização de segurança apropriada ou até o Screen Sharing ser completamente desativado como medida temporária.

Apple corrigiu três versões do macOS

Apple publicou as correções em 6 de agosto.

Os patches estão presentes em macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9.

Máquinas nessas linhas de sistema precisam estar nessas versões corrigidas ou em atualizações posteriores que incluam o patch.

A recomendação principal é instalar as atualizações o mais rapidamente possível.

Sistemas conectados diretamente à internet têm maior exposição

Os ataques confirmados tinham um elemento comum: Screen Sharing acessível externamente pela porta 5900.

Esse tipo de configuração aumenta substancialmente a superfície de ataque.

Uma vulnerabilidade de autenticação deixa de depender de acesso interno à rede quando o serviço fica visível na internet.

Para administradores, isso transforma um recurso de acesso remoto em um ponto crítico de segurança.

Macs hospedados remotamente merecem atenção especial

O risco é particularmente relevante para serviços que alugam máquinas Apple físicas.

Mac minis usados como bare-metal hosts são um exemplo.

Esses ambientes permitem que desenvolvedores e empresas acessem hardware Apple remotamente para diferentes cargas de trabalho.

Segundo a Huntress, algumas plataformas podem disponibilizar Screen Sharing logo após o provisionamento.

Se a máquina ainda não recebeu o patch, o período inicial de uso pode deixá-la exposta.

“Dezenas de milhares” não significa dezenas de milhares infectados

Uma busca feita pela Huntress no Censys identificou dezenas de milhares de hosts possivelmente vulneráveis.

Esse número é importante, mas precisa ser interpretado corretamente.

Ele representa máquinas que aparentavam estar expostas.

Não representa uma contagem de infecções confirmadas.

Até agora, as autoridades não informaram quantos dispositivos foram realmente comprometidos.

A gravidade passou para 9,8

A avaliação técnica do problema tornou-se mais severa depois das primeiras análises.

A CISA agora atribui à vulnerabilidade uma pontuação CVSS de 9,8.

Isso coloca CVE-2026-65400 na categoria crítica.

A avaliação considera que um atacante não precisa possuir privilégios prévios.

Também não é necessária interação do usuário para a exploração, segundo a pontuação atual.

A mineração de Monero foi consequência, não a vulnerabilidade em si

Os casos holandeses mostraram atacantes usando o acesso root para instalar mineiros de Monero.

Isso caracteriza cryptojacking.

A vítima fornece involuntariamente processamento, energia elétrica e infraestrutura.

O atacante captura os resultados econômicos do trabalho computacional.

O usuário pode perceber apenas lentidão, aquecimento ou uso anormal de recursos.

Monero é adequado a esse tipo de abuso

Monero aparece com frequência em campanhas de mineração clandestina porque pode ser minerado com hardware de uso geral.

O invasor não precisa transformar cada máquina em um equipamento especializado.

Um servidor ou computador comprometido pode contribuir para a mineração utilizando CPU disponível.

Isso torna grandes grupos de dispositivos infectados economicamente interessantes, mesmo quando cada máquina individual produz pouco.

Não há dados sobre quanto XMR foi minerado

O NCSC não divulgou os endereços de carteiras usados pelos atacantes.

Também não informou os pools de mineração envolvidos.

O software específico instalado nas máquinas não foi identificado publicamente.

Sem essas informações, não é possível determinar quanto Monero foi produzido ou se os diferentes incidentes fazem parte da mesma campanha.

Ataques não foram atribuídos a um grupo

As autoridades holandesas também não identificaram quem realizou as invasões.

Não há confirmação de que os ataques tenham sido conduzidos por um único grupo.

Essa falta de atribuição é comum nos estágios iniciais de uma investigação.

A prioridade imediata é reduzir a exposição técnica enquanto mais dados são coletados.

Acesso root torna o incidente mais grave que simples cryptojacking

Um ponto importante é que o mineiro observado pode não representar todo o impacto possível.

Root é o nível mais alto de privilégio em um sistema Unix como macOS.

Um invasor com esse acesso pode, em princípio, realizar mudanças profundas no sistema.

A fonte confirma a instalação de software de mineração.

Ela não confirma roubo de credenciais, dados ou carteiras.

Mas também não fornece informações suficientes para afirmar que nenhuma outra atividade ocorreu.

Máquinas comprometidas precisam ser investigadas

Aplicar o patch corrige a vulnerabilidade.

Isso não significa que uma máquina previamente invadida volte automaticamente a ser confiável.

Se malware já foi instalado, ele pode continuar existindo depois da atualização.

Administradores que encontrarem sinais de comprometimento precisam investigar processos, persistência, contas, conexões de rede e outros indicadores.

Em ambientes sensíveis, uma reinstalação limpa pode ser considerada conforme os procedimentos internos de resposta a incidentes.

O problema faz parte de uma tendência maior

Cryptojacking não é exclusivo de computadores Apple.

Campanhas anteriores identificadas em sistemas Windows também instalaram software de mineração depois de uma invasão.

A lógica econômica é semelhante.

O criminoso procura acesso a uma grande quantidade de capacidade computacional que não precisa comprar ou manter.

Ambientes de nuvem, servidores e hosts remotos podem ser particularmente valiosos por permanecerem ligados continuamente.

macOS também enfrenta ameaças voltadas ao setor cripto

Computadores Apple têm sido alvo de outras campanhas relacionadas a criptomoedas.

A fonte menciona ataques atribuídos a hackers norte-coreanos contra profissionais de empresas cripto.

Essas operações utilizaram falsos encontros e atualizações maliciosas.

O objetivo e a técnica eram diferentes do caso de CVE-2026-65400.

Mesmo assim, reforçam que usuários de macOS no setor de ativos digitais fazem parte de um grupo de interesse para atacantes.

O preço do XMR não é parte da causa

Monero negociava em torno de US$ 414 quando os dados foram publicados.

O token apresentava variação inferior a 1% em 24 horas e alta próxima de 5% em sete dias.

Não existe evidência no material fornecido de que o ataque tenha influenciado essa movimentação.

A utilização de XMR por criminosos em uma campanha de mineração não estabelece uma relação direta com seu preço de mercado.

Empresas devem revisar exposição da porta 5900

A correção não elimina a necessidade de revisar como o acesso remoto é configurado.

Sistemas que oferecem Screen Sharing diretamente à internet apresentam maior risco do que aqueles protegidos por camadas adicionais de controle.

Administradores precisam saber quais Macs expõem a porta 5900 e por quê.

Mesmo depois do patch, reduzir serviços desnecessariamente públicos é uma medida básica de diminuição da superfície de ataque.

Huntress recomenda atualizar mesmo quem acredita estar protegido

Uma equipe pode acreditar que Screen Sharing está desativado e, ainda assim, manter configurações inesperadas ou máquinas fora do inventário principal.

Por isso, Huntress recomenda aplicar a atualização de forma ampla.

A correção no sistema operacional remove a dependência de uma configuração perfeita.

Essa abordagem é especialmente importante em grandes ambientes com centenas ou milhares de endpoints.

O que ainda falta descobrir

A dimensão total da campanha continua desconhecida.

Não sabemos quantas máquinas foram comprometidas antes de 6 de agosto.

Também não se sabe se a exploração foi automatizada em grande escala.

Indicadores de comprometimento mais detalhados poderiam ajudar empresas a procurar sinais históricos da invasão.

Até agora, o fato confirmado mais importante é que a vulnerabilidade foi utilizada em ataques reais.

Conclusão

CVE-2026-65400 transformou um recurso legítimo de acesso remoto do macOS em um caminho para comprometimento completo de máquinas expostas.

Atacantes conseguiram ignorar a autenticação de Screen Sharing, obter acesso root e instalar software de mineração Monero.

Apple já publicou correções para Tahoe, Sequoia e Sonoma, e as autoridades recomendam atualização imediata.

Ponto-chave final

O cryptojacking é apenas o comportamento observado após a invasão. O verdadeiro problema de segurança é o bypass de autenticação com acesso root. Sistemas vulneráveis não devem ser protegidos apenas com novas senhas: precisam receber o patch da Apple, e qualquer Mac que apresente sinais de exploração deve ser tratado como um host potencialmente comprometido.