CVE-2026-65400 wird aktiv gegen Macs ausgenutzt

Auf mehreren Macs hat die Behörde den aktiven Missbrauch von CVE-2026-65400 beobachtet. Alle betroffenen Systeme hatten einen gemeinsamen Nenner: Port 5900, über das der Screen-Sharing-Dienst standardmäßig läuft, war vom Internet aus erreichbar. In jedem dokumentierten Fall hatten die Angreifer vollen Root-Zugriff auf das Gerät erlangt.

Als Folge legten sie einen Monero-Kryptominer ab, der den Rechner für illegale Berechnungen missbraucht. Laut NCSC waren nur Macs betroffen, bei denen dieser Port von außen erreichbar war.

Ursache der Schwachstelle ist ein Fehler im State Management, das vorherige Ereignisse, Nutzereingaben, Variablen und den Systemzustand nachverfolgt. Über diesen Bug kann sich eine ferne Partei ohne jegliche Anmeldedaten in den Mac einloggen und ihn vollständig fernsteuern.

Screen Sharing erlaubt ohnehin das Fernsehen des Bildschirms sowie die Kontrolle von Tastatur und Maus, der Fehler macht diese Kontrolle aber auch ohne Passwort möglich. Die Lücke wird mit 7,1 von 10 Punkten eingestuft und gilt damit als hochkritisch. Die Details wurden auf der Black-Hat-Sicherheitskonferenz der vergangenen Woche öffentlich, ein Video zur Ausnutzung ist ebenfalls verfügbar. In seiner Sicherheitsnotiz formulierte Apple vorsichtig: Die Lücke könne einem Angreifer ohne Zugangsdaten den Zugriff ermöglichen.

Apple hat in der vergangenen Woche ein Sicherheitsupdate veröffentlicht, das CVE-2026-65400 auf drei Systemversionen stopft: macOS Tahoe, Sequoia und Sonoma. Wer eine dieser Versionen nutzt, sollte das Update direkt installieren, um sich zu schützen.

Zusätzlich lohnt ein Blick auf die eigenen Einstellungen: Ist Screen Sharing aktiviert und ist Port 5900 von außen erreichbar? Nur bei solchen Macs war laut NCSC überhaupt ein Angriff möglich. Wer den Hintergrund zum Patch noch einmal nachlesen möchte, findet die Details im Artikel zur Screen-Sharing-Schwachstelle.