Il National Cyber Security Centre olandese segnala attacchi attivi che sfruttano una falla di autenticazione in macOS Screen Sharing, consentendo l'installazione di miner Monero da remoto. Apple ha già rilasciato aggiornamenti correttivi.
Il National Cyber Security Centre (NCSC) dei Paesi Bassi ha lanciato un allarme riguardo a una vulnerabilità di autenticazione in macOS Screen Sharing, sfruttata attivamente da cybercriminali dopo la pubblicazione di un exploit pubblico. La funzione Screen Sharing, integrata in macOS, permette il controllo remoto del desktop tramite protocollo VNC sulla porta TCP 5900. Apple ha corretto la falla identificata come CVE-2026-65400 il 6 agosto nelle versioni macOS Tahoe 26.6.1 e precedenti, ma molti sistemi restano esposti.
Accesso non autorizzato e impatto degli attacchi
La vulnerabilità consente a un attaccante sulla rete di accedere al sistema senza credenziali valide, con la possibilità di avviare applicazioni, consultare file, modificare impostazioni di sicurezza e compiere altre azioni sensibili. Secondo l'aggiornamento dell'avviso NCSC, sono stati segnalati casi concreti di compromissione su sistemi con la porta 5900 accessibile da Internet. In questi episodi, gli aggressori hanno ottenuto privilegi root e installato un miner di criptovaluta Monero.
Raccomandazioni di sicurezza e aggiornamenti disponibili
Il NCSC raccomanda agli utenti macOS di aggiornare il sistema alle versioni che risolvono la vulnerabilità: macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 e macOS Sonoma 14.8.9. Questi aggiornamenti migliorano la gestione dello stato e rafforzano la validazione delle credenziali, bloccando tentativi di autenticazione non autorizzati. Se l'aggiornamento non è immediatamente possibile, è consigliato disattivare la funzione Screen Sharing tramite Impostazioni di Sistema (Generali > Condivisione > Condivisione schermo) se non necessaria.
Contesto e rischi per gli utenti italiani
Il NCSC non ha fornito dettagli su quando siano iniziati gli attacchi, sull'eventuale estensione oltre il mining di criptovalute o sul numero totale di sistemi colpiti. Tuttavia, la presenza di exploit pubblici e la facilità di accesso tramite porte esposte rendono la minaccia rilevante anche per utenti e aziende italiane. Fenomeni simili di compromissione remota sono già stati osservati in altri contesti, come illustrato nell'analisi sulle campagne malware Android che combinano tecniche di furto dati e controllo remoto, consultabile nell'approfondimento su nuove minacce Android tra prestiti e furto carte.
