macOS Screen Sharing: Kritische Lücke wird aktiv ausgenutzt : Angreifer verschaffen sich Root-Zugriff und installieren Monero-Miner

Die kritische Schwachstelle CVE-2026-65400 erreicht einen CVSS-Wert von 9,8 und betrifft den in macOS integrierten Screen-Sharing-Dienst. Ein Angreifer, der den Dienst über das Netzwerk erreicht, kann sich unter bestimmten Bedingungen ohne gültige Zugangsdaten authentifizieren. Apple korrigierte den Fehler durch eine verbesserte Zustandsverwaltung, die sicherstellen soll, dass Anmeldedaten korrekt geprüft und nicht autorisierte Authentifizierungsversuche zurückgewiesen werden.

Der Fix erschien am 6. August 2026 als außerplanmäßiges Update für macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 und macOS Sonoma 14.8.9. Apple erklärte dazu lediglich: „Ein Authentifizierungsproblem wurde durch eine verbesserte Zustandsverwaltung behoben.“ Entdeckt und gemeldet hatte die Schwachstelle Alfredo Pesoli von Bynario.

Angriffe auf macOS Screen Sharing über den offenen TCP-Port 5900

Das niederländische National Cyber Security Centre (NCSC-NL) meldete inzwischen aktiven Missbrauch. Der Behörde zufolge betrifft dieser mehrere Systeme, bei denen der für Virtual Network Computing (VNC) beziehungsweise Screen Sharing genutzte TCP-Port 5900 direkt aus dem Internet erreichbar war. „In allen diesen Fällen hatte Root Zugriff auf das betroffene System erlangt und einen Monero-Kryptominer installiert“, erklärte das NCSC-NL.

Unklar ist bislang, wann die Angriffe begannen, wie viele Systeme betroffen sind und ob CVE-2026-65400 bereits vor Veröffentlichung des Patches als Zero-Day ausgenutzt wurde. Ebenfalls offen bleibt, ob Angreifer die Lücke außer zum Mining von Kryptowährungen für weitere Zwecke einsetzen.

Mehrere Schwachstellen im Screen Sharing Server

Calif ordnet CVE-2026-65400 einer Reihe von Schwachstellen im Screen Sharing Server zu, die Apple bereits mit macOS Tahoe 26.6 Ende Juli teilweise behoben hatte:

• CVE-2026-43779, CVSS 9,8: Ein Logikfehler konnte einer Anwendung ermöglichen, Netzwerkverbindungen abzufangen, die eigentlich für einen anderen Prozess bestimmt waren.
• CVE-2026-43777, CVSS 7,5: Ein entfernter Angreifer konnte einen Denial-of-Service (DoS) auslösen.
• CVE-2026-43760, CVSS 8,6: Ein Zugriffsfehler konnte einer Anwendung den Zugriff auf sensible Benutzerdaten ermöglichen.

Pesoli beschrieb CVE-2026-43760 als Post-Authentication-Schwachstelle. Voraussetzung sind aktiviertes Screen Sharing oder Remote Management, die Option „VNC viewers may control screen with password“ sowie Kenntnis des zugehörigen VNC-Passworts.

Die Schwachstelle steckt in einem alten Authentifizierungspfad für VNC-Passwörter. Nach erfolgreicher Anmeldung kann ein Angreifer einen eigentlich für Dateiübertragungen vorgesehenen Mechanismus missbrauchen, um geschützte Dateien auszulesen, beliebige Dateien als Root anzulegen und schließlich Befehle mit Root-Rechten auszuführen.

„Nach dem VNC-Authentifizierungsschritt überschreiten wir eine Grenze, die das Passwort niemals hätte überschreiten dürfen“, erklärt Pesoli. Ein entfernter VNC-Client könne macOS dazu bringen, geschützte Dateien als Root zu lesen. Umgekehrt lasse sich kontrollierter Inhalt als Root schreiben. Pesoli nutzte dies, um eine gültige sudoers-Policy anzulegen und den Dateikopiervorgang in eine Remote-Code-Ausführung als Root beziehungsweise eine Local Privilege Escalation (LPE) umzuwandeln.

Weitere Pre-Authentication-Lücke soll Angriffe ohne Passwort ermöglichen

Parallel machte der unter dem Alias @osxreverser auftretende Sicherheitsforscher auf eine weitere Schwachstelle in screensharingd aufmerksam. Sie erlaubt ebenfalls einen Angriff vor der Authentifizierung und soll jeden Mac mit aktiviertem Screen Sharing kompromittierbar machen, ohne dass ein Passwort bekannt sein muss. Nach seiner Darstellung genügt die IP-Adresse des Zielsystems.

@osxreverser erklärte, die Schwachstelle bereits längere Zeit gekannt, sie aufgrund früherer Erfahrungen mit Apple jedoch nicht gemeldet zu haben. Bei einem Scan habe er rund 40.000 aus dem Internet erreichbare Screen-Sharing-Systeme gefunden, fast die Hälfte davon in den USA. Neben vielen privaten Anschlüssen seien darunter auch Systeme von Universitäten und Unternehmen gewesen. Aber Achtung: Diese Schwachstelle ist nicht mit CVE-2026-65400 identisch. Apple schloss sie bereits mit macOS 26.6 gemeinsam mit den drei anderen Fehlern. Nach Angaben von Calif befinden sich beide Pre-Authentication-Lücken jedoch im selben Quellcodebereich.

Falscher Rückgabewert und desynchronisierte Zustandsmaschine

Technisch unterscheiden sich die beiden Fehler. Bei der von @osxreverser beschriebenen Schwachstelle sorgt ein einziger falscher Rückgabewert für die Umgehung der Authentifizierung. Eine Längenprüfung bricht bei einem übergroßen Frame vorzeitig ab und liefert dabei einen Wert zurück, der zufällig dem Erfolgscode des unmittelbar zuvor ausgeführten Lesevorgangs entspricht. Der aufrufende Code interpretiert dies als erfolgreich abgeschlossenen Authentifizierungsschritt und setzt die Zustandsmaschine fort.

CVE-2026-65400 beruht dagegen auf einer Desynchronisation der Authentifizierungs-Zustandsmaschine. Der Fehler benötigt zusätzlich den Namen eines gültigen Benutzerkontos. Calif bewertet diese Voraussetzung jedoch als geringe Hürde: Benutzernamen seien keine Geheimnisse und würden von macOS unter anderem im Login-Fenster angezeigt. Die andere Pre-Auth-Lücke benötigt nicht einmal diese Information.

Beide Fehler waren bereits in macOS 26.5.2 vorhanden. Beide sind reine Logikfehler: Es sind kein Heap Grooming, keine Umgehung von Address Space Layout Randomization (ASLR), keine Race Condition und kein Absturz erforderlich. Nach Angaben von Calif genügt es, ein oder zwei entsprechend konstruierte Netzwerkpakete in der richtigen Reihenfolge zu senden. Auf einem ungepatchten Mac mit aktiviertem Screen Sharing funktioniere der Angriff reproduzierbar.

KI erstellt Exploits innerhalb weniger Stunden

Calif hält weitere technische Details zu CVE-2026-65400 zunächst zurück, bis ein größerer Anteil der Systeme aktualisiert wurde. Der Grund ist die vergleichsweise einfache Entwicklung funktionsfähiger Remote-Root-Exploits. Das auf KI-Sicherheit spezialisierte Unternehmen gab an, mithilfe eines Künstliche-Intelligenz-(KI)-Agenten innerhalb von vier Stunden funktionierende Exploits für beide Pre-Auth-Schwachstellen entwickelt zu haben. Der Fall zeigt damit, wie stark KI den Zeitraum zwischen Veröffentlichung eines Patches, Analyse der Codeänderungen und praktischer Ausnutzung einer Schwachstelle verkürzen kann.

Patchen oder Screen Sharing abschalten

Apple-Nutzer sollten daher möglichst sofort auf macOS Tahoe 26.6.1, Sequoia 15.7.9 oder Sonoma 14.8.9 aktualisieren. Ist ein Update kurzfristig nicht möglich, sollte Screen Sharing deaktiviert werden. Die Einstellung findet sich unter Allgemein > Freigaben > Bildschirmfreigabe. Vor allem darf Port 5900 nicht direkt aus dem Internet erreichbar sein. Angesichts der bereits beobachteten Angriffe ist die Schwachstelle keine theoretische Gefahr mehr: Ungepatchte Macs mit exponiertem Screen-Sharing-Dienst können unmittelbar Ziel automatisierter Angriffe werden.

FAQ macOS Screen Sharing

Was ist CVE-2026-65400?
CVE-2026-65400 ist eine kritische Authentifizierungs-Schwachstelle im Screen-Sharing-Dienst von macOS. Sie kann entfernten Angreifern unter bestimmten Voraussetzungen den Zugriff ohne gültiges Passwort ermöglichen.

Welche macOS-Versionen beheben die Schwachstelle?
Apple hat die Korrektur nach den vorliegenden Angaben für macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 und macOS Sonoma 14.8.9 veröffentlicht.

Ist ein Mac mit offenem Port 5900 gefährdet?
Ja. Ein direkt aus dem Internet erreichbarer TCP-Port 5900 erhöht das Risiko erheblich, weil der darüber erreichbare VNC- beziehungsweise Screen-Sharing-Dienst automatisierten Angriffen ausgesetzt sein kann.

Kann die Schwachstelle ohne Passwort ausgenutzt werden?
Für CVE-2026-65400 wird ein gültiger Benutzername als mögliche Voraussetzung genannt, aber kein gültiges Passwort. Eine weitere, davon getrennte Pre-Authentication-Lücke soll laut technischer Beschreibung sogar ohne Benutzernamen auskommen.

Was sollte geschehen, wenn ein Update nicht sofort möglich ist?
Screen Sharing und nach Möglichkeit Remote Management sollten deaktiviert werden. Zusätzlich sollte TCP-Port 5900 an der Firewall blockiert werden. Bei einem konkreten Verdacht auf eine Kompromittierung muss der Mac isoliert und forensisch geprüft werden.