Una vulnerabilità di sicurezza presente nella funzionalità Screen Sharing di macOS sta attirando l’attenzione dei ricercatori perché risulta già sfruttata in attacchi reali. L’allerta arriva dal National Cyber Security Centre dei Paesi Bassi, che ha pubblicato l’advisory NCSC-2026-0280 relativo alla CVE-2026-65400. La vulnerabilità è classificata con un punteggio CVSS v3 di 7.1 e interessa diverse versioni del sistema operativo desktop di Apple. Il problema riguarda un meccanismo di autenticazione implementato in modo non corretto nella funzionalità di condivisione dello schermo.
L’autenticazione può essere aggirata
Secondo le informazioni pubblicate dal NCSC, la vulnerabilità è legata a una gestione inadeguata dello stato durante il processo di autenticazione. In determinate condizioni, un attaccante presente sulla rete può riuscire a ottenere accesso al servizio senza possedere credenziali valide. Il rischio aumenta soprattutto quando Screen Sharing viene esposto direttamente su Internet. Il servizio utilizza infatti la porta TCP 5900, associata al protocollo VNC. Un sistema macOS raggiungibile dall’esterno attraverso questa porta può quindi diventare un bersaglio direttamente accessibile agli aggressori. L’esposizione di servizi di amministrazione remota su Internet rappresenta da tempo una delle configurazioni maggiormente ricercate dagli attaccanti, perché consente di individuare rapidamente sistemi vulnerabili attraverso attività di scansione automatizzata.
Sfruttamento osservato in natura
L’aspetto più preoccupante dell’advisory è che la vulnerabilità non viene considerata soltanto teorica. Il NCSC segnala infatti di aver osservato sfruttamento attivo contro sistemi macOS con la porta 5900 esposta pubblicamente. Gli attacchi analizzati mostrano inoltre una possibile evoluzione rapida della compromissione. In alcuni casi gli aggressori sono riusciti a ottenere privilegi elevati sul sistema e successivamente hanno installato un software di mining per Monero. Questo comportamento evidenzia come una vulnerabilità inizialmente legata all’accesso remoto possa trasformarsi in una compromissione più ampia del dispositivo. Una volta ottenuto il controllo del sistema, infatti, l’attaccante può utilizzare le risorse hardware della macchina per attività ulteriori, come il cryptomining, oppure tentare di stabilire una presenza persistente.
A rendere ulteriormente delicata la situazione contribuisce la disponibilità di una prova di concetto pubblica. La presenza di una PoC riduce le difficoltà tecniche necessarie per verificare la vulnerabilità e può favorire la diffusione di campagne automatizzate contro sistemi ancora privi delle correzioni. Il rischio è quindi particolarmente elevato per dispositivi utilizzati in ambienti aziendali e amministrativi nei quali la funzionalità Screen Sharing è stata configurata per consentire accessi remoti.
Un rischio concreto per i servizi esposti
CVE-2026-65400 dimostra ancora una volta come le funzionalità di accesso remoto possano diventare un punto d’ingresso privilegiato per gli attaccanti. In questo caso la combinazione tra una vulnerabilità di autenticazione, l’esposizione del servizio VNC e la disponibilità di una PoC crea condizioni favorevoli allo sfruttamento automatizzato. Per gli amministratori di sistema la priorità dovrebbe essere quindi verificare immediatamente le versioni di macOS installate, applicare gli aggiornamenti disponibili e controllare eventuali esposizioni della porta 5900. Nei sistemi che presentano questa vulnerabilità è inoltre consigliabile verificare i log alla ricerca di connessioni anomale e attività successive all’accesso remoto, soprattutto nel caso di sistemi che risultavano direttamente esposti su Internet.
Apple ha corretto la vulnerabilità nelle versioni aggiornate dei propri sistemi operativi. Le release indicate dal NCSC sono macOS Sequoia 15.7.9, macOS Sonoma 14.8.9 e macOS Tahoe 26.6.1. L’aggiornamento rappresenta quindi la principale misura di mitigazione. È inoltre opportuno verificare la configurazione della rete e accertarsi che la porta TCP 5900 non sia direttamente raggiungibile da Internet quando non strettamente necessario.
