פגיעות עקיפת הזדהות קריטית ב-macOS Screen Sharing (CVE-2026-65400) מנוצלת בפועל

פגיעות קריטית ב-Screen Sharing של macOS מאפשרת לתוקף מרוחק לעקוף לחלוטין את תהליך ההזדהות ולקבל גישה למחשב כאילו התחבר עם אישורים תקינים. אפל תיקנה את הפגיעות בתחילת אוגוסט בעדכון חירום, אך תוקפים כבר מנצלים אותה בשטח נגד מחשבי Mac החשופים לאינטרנט, והיא נוספה לאחרונה לקטלוג ה-KEV של CISA.

מה קרה

הפגיעות נובעת מניהול שגוי של מצב (state management) בתהליך ההזדהות מסוג Secure Remote Password שמשמש את Screen Sharing. הכשל מאפשר לחיבור לא מאומת להתקבל כאילו עבר אימות מלא, כך שתוקף שמגיע אל שירות ה-Screen Sharing של מחשב Mac יכול לעקוף את מסך ההזדהות ולקבל שליטה על המערכת, כולל יכולת לקרוא ולכתוב קבצים ברמת הרשאות רוט.

בשטח דווח כי תוקפים סורקים אחר מחשבי Mac שבהם פורט 5900 (הפורט הסטנדרטי של VNC/Screen Sharing) חשוף לאינטרנט, משיגים גישת רוט ומתקינים עליהם כורה מטבע קריפטו מסוג Monero. פגיעים במיוחד הם מחשבי Mac פיזיים המושכרים כשירות בענן ובמרכזי נתונים לצורכי פיתוח ובדיקות, שם החשיפה לאינטרנט נפוצה יותר מאשר במחשבים ביתיים או משרדיים.

נקודות לשים לב

• עדכנו לאלתר את כל מחשבי ה-Mac בארגון לגרסה המתוקנת — macOS Tahoe 26.6.1, Sequoia 15.7.9 או Sonoma 14.8.9 בהתאם לגרסה הקיימת. שינוי סיסמה או הגבלת חשבון אינם עוזרים — הפגיעות בכשל האימות עצמו.
• בדקו האם יש אצלכם מחשבי Mac עם Screen Sharing פעיל וחשוף לאינטרנט (פורט TCP 5900) — בפרט מחשבים פיזיים המושכרים בענן לצרכי פיתוח, שם נמצא ריכוז גבוה של חשיפה.
• אם אין הכרח בגישה מרחוק דרך האינטרנט הפתוח, חסמו את פורט 5900 בפיירוול והגבילו גישה ל-Screen Sharing לרשת פנימית או VPN בלבד.
• חפשו בלוגים תהליכי כרייה חשודים או עומס מעבד גבוה בלתי מוסבר, שהם סימן מרכזי לזיהוי כורי Monero שהותקנו כתוצאה מהניצול.
• הוספת הפגיעות לקטלוג ה-KEV של CISA מעידה על ניצול פעיל ומאושר — אין להתייחס לעדכון הזה כאל עדכון שגרתי שאפשר לדחות.

מקורות: The Hacker News · Help Net Security