Apple a corrigé une vulnérabilité critique de macOS Screen Sharing après la confirmation d’attaques ayant permis à des acteurs malveillants d’obtenir un accès root à des Mac exposés sur Internet et d’y installer des logiciels de minage de Monero.

La faille, identifiée sous la référence CVE-2026-65400, a fait l’objet d’une alerte mise à jour du National Cyber Security Centre néerlandais. L’agence a confirmé plusieurs cas d’exploitation active sur des systèmes dont le port 5900 était accessible depuis Internet.

Dans chacun des cas signalés, les attaquants ont obtenu des privilèges root avant d’installer un mineur Monero.

Le nombre exact de machines compromises n’a pas été communiqué.

La vulnérabilité contourne l’authentification de Screen Sharing

Apple a corrigé CVE-2026-65400 le 6 août dans macOS Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9.

L’entreprise décrit le problème comme une faille d’authentification liée à une mauvaise gestion de l’état du service Screen Sharing.

Dans certaines conditions, un attaquant présent sur le réseau peut accéder au service sans fournir d’identifiants valides.

La société de cybersécurité Huntress a analysé le comportement plus en détail et attribue le problème au processus Secure Remote Password utilisé par Screen Sharing.

Une connexion non authentifiée pouvait être considérée comme valide

Selon Huntress, un attaquant pouvait manipuler le service de manière à ce qu’une connexion non authentifiée soit traitée comme authentifiée.

Une fois cette étape franchie, l’attaquant pouvait obtenir un niveau d’accès privilégié à la machine.

Cette caractéristique explique la gravité du problème.

La faille intervient avant les contrôles normaux d’authentification, ce qui signifie que plusieurs mesures habituelles ne suffisent pas à la corriger.

Changer le mot de passe ne protège pas les systèmes vulnérables

Huntress indique qu’un simple changement du mot de passe Screen Sharing n’élimine pas le risque.

Désactiver l’ancien mécanisme d’authentification VNC ne suffit pas non plus.

Supprimer des utilisateurs autorisés ne règle pas le problème.

La vulnérabilité existe en amont de ces mécanismes.

La solution recommandée consiste donc à installer les mises à jour de sécurité publiées par Apple.

Lorsque cela n’est pas immédiatement possible, Screen Sharing doit être désactivé jusqu’à ce que le système puisse être mis à jour.

Des dizaines de milliers de Mac pourraient avoir été exposés

Une recherche Censys réalisée par Huntress a identifié des dizaines de milliers d’hôtes potentiellement vulnérables.

Cette estimation doit être interprétée avec prudence.

Elle correspond aux systèmes qui semblaient exposer le service concerné à Internet.

Elle ne signifie pas que des dizaines de milliers de Mac ont effectivement été compromis.

Le nombre d’attaques confirmées reste inconnu.

Les Mac bare-metal hébergés représentent un risque particulier

La vulnérabilité est particulièrement préoccupante pour les environnements proposant des Mac physiques hébergés à distance.

Cela inclut notamment les Mac mini loués pour des charges de travail distantes.

Huntress explique que certaines infrastructures d’hébergement exposent Screen Sharing sur de nouvelles machines lors de leur mise en service.

Si ces systèmes n’ont pas encore reçu les correctifs du 6 août, ils peuvent devenir accessibles aux attaquants.

Le score de gravité atteint désormais 9,8

L’évaluation de la vulnérabilité a également évolué.

L’analyse de la CISA attribue désormais à CVE-2026-65400 un score CVSS de 9,8, correspondant à un niveau critique.

L’évaluation précédente était plus faible.

La nouvelle notation considère notamment qu’aucun privilège préalable et aucune interaction de l’utilisateur ne sont nécessaires pour l’exploitation.

Le National Vulnerability Database indique que le score a été relevé le 14 août.

Les attaquants ont utilisé les machines pour du cryptojacking

Les incidents identifiés aux Pays-Bas concernent du cryptojacking.

Après avoir obtenu un accès root, les attaquants utilisaient les ressources informatiques des Mac compromis pour miner du Monero.

Aucun vol de clés ou d’identifiants de portefeuille n’a été signalé dans les cas décrits.

L’objectif observé était l’utilisation clandestine du processeur et des autres ressources de la machine afin de générer de la cryptomonnaie.

Le NCSC n’a pas identifié les attaquants

Le NCSC néerlandais n’a pas attribué la campagne à un groupe précis.

Il n’a pas non plus communiqué le nom du logiciel de minage utilisé.

Les adresses de pools de minage, les portefeuilles associés et les revenus générés en XMR n’ont pas été publiés.

Ces éléments empêchent pour le moment d’évaluer l’ampleur économique de la campagne.

Ils limitent également la capacité à relier les incidents à d’autres opérations connues.

Pourquoi Monero est souvent utilisé dans les campagnes de cryptojacking

Monero apparaît régulièrement dans ce type d’attaque parce que son minage peut fonctionner sur du matériel informatique généraliste.

Les attaquants n’ont donc pas besoin d’un équipement spécialisé pour commencer à utiliser les ressources d’une machine compromise.

Une fois l’accès obtenu, un logiciel de minage peut fonctionner discrètement en arrière-plan.

L’utilisateur peut parfois ne constater qu’une consommation CPU élevée, une baisse de performance ou une augmentation de la consommation électrique.

Les campagnes de minage clandestin ne touchent pas uniquement macOS

Des campagnes similaires ont déjà ciblé d’autres systèmes d’exploitation.

Une enquête de Darktrace citée dans la source avait identifié des logiciels malveillants déployant discrètement des mineurs de cryptomonnaies après compromission de machines Windows.

Le principe reste identique.

L’attaquant cherche à transformer l’infrastructure informatique de la victime en ressource de minage sans payer le matériel ni l’électricité nécessaires.

Les utilisateurs de Mac sont aussi ciblés par d’autres menaces crypto

Les appareils Apple ont également été visés par des campagnes de malware orientées vers le secteur des actifs numériques.

Des pirates nord-coréens ont notamment ciblé des utilisateurs de macOS travaillant dans l’industrie crypto via de faux rendez-vous et des mises à jour logicielles malveillantes.

Ces campagnes n’utilisent pas nécessairement les mêmes vulnérabilités.

Elles montrent cependant que l’écosystème macOS n’est pas à l’écart des menaces visant les entreprises et professionnels des cryptomonnaies.

Le cours de Monero reste indépendant de l’incident

Au moment des données citées, Monero se négociait autour de 414 dollars.

XMR affichait une progression inférieure à 1 % sur 24 heures et proche de 5 % sur sept jours.

Rien dans la source n’indique que cette évolution de prix soit liée aux attaques contre macOS.

Le fait que Monero soit utilisé par des mineurs malveillants ne signifie pas que les incidents aient un impact significatif sur le marché du token.

Les systèmes exposés sur Internet sont les plus urgents à corriger

La priorité immédiate concerne les Mac utilisant des versions vulnérables de Sonoma, Sequoia ou Tahoe et exposant Screen Sharing directement à Internet.

Ce sont les systèmes pour lesquels l’exploitation a été documentée.

Les administrateurs doivent vérifier que les correctifs correspondants sont installés.

Huntress recommande toutefois de mettre à jour les Mac même lorsque les responsables pensent que Screen Sharing est désactivé.

Cette approche réduit le risque lié à une mauvaise configuration ou à une réactivation ultérieure du service.

Désactiver Screen Sharing peut servir de mesure temporaire

Lorsqu’une mise à jour ne peut pas être appliquée immédiatement, désactiver Screen Sharing constitue une mesure de réduction du risque.

Elle ne remplace pas le correctif.

L’objectif est uniquement de réduire l’exposition jusqu’à l’installation de la version sécurisée de macOS.

Les systèmes qui ont déjà été compromis nécessitent également une analyse plus large.

Installer le patch empêche l’exploitation future de la faille mais ne supprime pas automatiquement un logiciel malveillant déjà présent.

Une compromission root exige une enquête complète

L’obtention de privilèges root signifie que l’attaquant a pu agir avec un niveau de contrôle très élevé.

Dans un environnement professionnel, la présence d’un mineur ne doit donc pas être considérée comme la seule conséquence possible.

La source confirme uniquement le minage de Monero dans les cas étudiés.

Elle ne permet pas d’exclure d’autres actions sur les mêmes machines.

Une organisation affectée doit donc traiter l’incident comme une compromission privilégiée et non comme un simple problème de performance.

L’étendue réelle de la campagne reste inconnue

Le NCSC a confirmé l’exploitation active mais n’a pas publié de nombre total d’incidents.

Huntress a identifié un grand nombre de systèmes potentiellement exposés, sans pouvoir déterminer combien ont réellement été attaqués.

La différence entre exposition et compromission est importante.

Une machine visible sur Internet n’est pas nécessairement infectée.

Mais tant qu’elle reste non corrigée, elle constitue une cible potentielle.

De nouvelles informations pourraient préciser la campagne

Les prochaines données pourraient venir des équipes de réponse à incident, des hébergeurs ou d’autres agences nationales de cybersécurité.

Des indicateurs de compromission précis pourraient permettre d’identifier les logiciels de minage, les infrastructures de contrôle ou les portefeuilles utilisés.

Pour l’instant, la principale information exploitable reste claire : CVE-2026-65400 est activement exploitée et un correctif existe.

Conclusion

Apple a corrigé CVE-2026-65400 dans macOS Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9 après la confirmation d’attaques exploitant Screen Sharing pour obtenir un accès root et installer des mineurs Monero.

La vulnérabilité contourne le processus d’authentification, ce qui rend inefficaces les simples changements de mot de passe.

Des dizaines de milliers de machines pourraient avoir été exposées, même si le nombre de compromissions confirmées n’est pas connu.

Point clé final

Le principal risque ne vient pas du minage de Monero lui-même, mais du niveau d’accès que la faille permet d’obtenir. Un attaquant capable d’atteindre les privilèges root possède un contrôle étendu sur la machine. La priorité est donc d’installer immédiatement les correctifs Apple et de considérer tout système déjà touché comme potentiellement compromis au-delà du seul cryptojacking.