CVE-2026-65400: atacantes toman Macs expuestas por Screen Sharing e instalan mineros Monero

El Centro Nacional de Ciberseguridad de Países Bajos recibió reportes de abuso activo de CVE-2026-65400 en múltiples sistemas cuyo servicio de Screen Sharing estaba accesible desde Internet por el puerto TCP 5900. Los atacantes aprovecharon el bypass de autenticación para obtener acceso y desplegar el minero XMRig, orientado a generar Monero con los recursos de la víctima.

La explotación comenzó a observarse después de que apareciera código público. No hay evidencia publicada que permita atribuir la campaña a un actor específico.

Apple describe CVE-2026-65400 como un problema de autenticación y gestión de estado: un atacante con acceso de red puede autenticarse en Screen Sharing sin presentar credenciales válidas. El riesgo aumenta de forma drástica cuando VNC está publicado directamente en Internet.

Apple corrigió la falla el 6 de agosto en macOS Tahoe 26.6.1, Sequoia 15.7.9 y Sonoma 14.8.9. La autenticación fuerte por sí sola no sustituye la actualización porque el defecto permite saltarse precisamente esa comprobación.

Los administradores deben actualizar todos los Macs, retirar el puerto 5900 de la exposición pública y limitar Screen Sharing a redes administrativas o VPN. En equipos expuestos antes de actualizar, la sola instalación del parche no descarta que el atacante ya haya conseguido acceso persistente.