Eine schwere Schwachstelle in der macOS-Bildschirmfreigabe wird seit wenigen Tagen aktiv angegriffen. Angreifer verschaffen sich damit Root-Zugriff und installieren heimlich Kryptowährungs-Miner auf verwundbaren Macs.
Apple hat bereits Anfang August Patches für aktuelle macOS-Versionen veröffentlicht, doch laut Behörden und Sicherheitsforschenden sind zahlreiche Systeme noch ungepatcht und direkt aus dem Internet angreifbar.
Was hinter CVE‑2026‑65400 steckt
Die Lücke CVE‑2026‑65400 steckt in der integrierten Bildschirmfreigabe von macOS, einem VNC-basierten Fernzugriffs-Dienst, der über TCP-Port 5900 arbeitet. Die Funktion erlaubt es, einen entfernten Mac zu sehen und Tastatur sowie Maus zu steuern, etwa für Support oder Remote-Arbeit.
Der Fehler liegt in der Authentifizierung: Ältere macOS-Versionen prüfen Anmeldeversuche nicht korrekt. Laut Apple kann sich dadurch eine:n Angreifer:in im Netzwerk ohne gültige Zugangsdaten an der Bildschirmfreigabe anmelden, den Bildschirm einsehen und Eingaben übernehmen. Apple beschreibt die Behebung als „verbessertes Zustandsmanagement“ während der Authentifizierung.
Die Schwachstelle wurde unter der Kennung CVE‑2026‑65400 in der US-amerikanischen National Vulnerability Database erfasst. Zunächst erhielt sie einen CVSS-Score von 7,1, die US-Cybersicherheitsbehörde CISA stufte sie kurz darauf jedoch auf 9,8 (kritisch) herauf und bewertet den Angriff inzwischen als automatisierbar.
Aktive Angriffe über Port 5900 und Monero-Mining
Die Niederländische Nationale Cyber-Sicherheitsbehörde (NCSC-NL) meldete am 12. August, dass die Lücke aktiv ausgenutzt wird. Betroffen sind Systeme, bei denen Port 5900 aus dem Internet erreichbar ist, typischerweise über eine Portweiterleitung im Router, sobald Bildschirmfreigabe aktiviert ist.
In allen gemeldeten Fällen verschafften sich Angreifer Root-Zugriff auf den jeweiligen Mac und installierten einen Miner für die Kryptowährung Monero. Root-Rechte erlauben nahezu vollständige Kontrolle, inklusive Datenzugriff und der Möglichkeit, weitere Schadsoftware nachzuladen.
Öffentlich verfügbare Proof-of-Concept-Codes zeigen, wie der Angriff funktioniert. Details zur Schwachstelle wurden auf der Sicherheitskonferenz Black Hat präsentiert, inklusive eines Videobeispiels. Fachberichte verweisen darauf, dass das beobachtete Kontrollniveau dem Root-Zugriff entspricht, den Forschende zuvor in einer Demonstration erreicht hatten.
Apple veröffentlichte den Patch am 6. August als außerplanmäßiges Update – ein Hinweis auf die Schwere der Lücke. NCSC-NL warnte bereits am 7. August Organisationen, sofort zu aktualisieren, und ergänzte später die Hinweise um die bestätigte aktive Ausnutzung.
Welche macOS-Versionen betroffen sind – und wie Ihr Euch schützt
Apple hat die Schwachstelle in folgenden Versionen geschlossen: macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 und macOS Sonoma 14.8.9. Wer eine dieser Versionen nutzt und noch nicht aktualisiert hat, sollte das umgehend nachholen. Macs mit älteren Builds bleiben anfällig.
Ihr könnt das Update direkt über die Systemeinstellungen installieren: Geht zu „Systemeinstellungen > Allgemein > Softwareupdate“ und folgt den Anweisungen. Für Nutzer:innen, die lieber manuell installieren oder Installations- beziehungsweise Wiederherstellungsdateien benötigen, stehen separate Downloadseiten für macOS Tahoe, Sequoia und Sonoma zur Verfügung.
Bis zum Einspielen des Updates – oder wenn ein Update kurzfristig nicht möglich ist – solltet Ihr die Bildschirmfreigabe deaktivieren. Das geht unter „Systemeinstellungen > Allgemein > Teilen“, dort schaltet Ihr den Schalter für Bildschirmfreigabe aus. Die Funktion sollte nur aktiv sein, wenn Ihr sie wirklich nutzt, und anschließend wieder deaktiviert werden.
Da der Angriff Port 5900 voraussetzt, reduziert es das Risiko zusätzlich, diesen Port nicht aus dem Internet erreichbar zu machen. Wer dauerhaft Remote-Zugriff benötigt, sollte statt direkter Freigabe aus dem Internet eine VPN-Verbindung einsetzen, um die Angriffsfläche zu verkleinern.
Via: www.techradar.com · www.iClarified.com · www.cultofmac.com · 9to5mac.com · www.tomshardware.com
