Vendredi, la CISA a relevé la gravité d'une vulnérabilité dans la fonctionnalité de partage d'écran de macOS au niveau critique – 9,8 sur 10.
Des enquêteurs néerlandais ont signalé que des attaquants ont obtenu des privilèges root sur des Mac connectés à Internet et y ont installé discrètement un logiciel de minage de Monero.
De 7,1 à 9,8 en une semaine
Lorsqu'Apple a publié le correctif, la CISA a évalué cette faille, identifiée comme CVE-2026-65400, à 7,1 sur 10 dans la base nationale des vulnérabilités. L'agence a ensuite modifié le score à 9,8, ce qui est proche du maximum sur l'échelle CVSS.
Le Centre national de cybersécurité des Pays-Bas a adopté une approche similaire. Une mise à jour du 12 août a modifié l'avis initial, indiquant qu'un code d'exploitation public était en circulation et confirmant un abus actif.
En date de vendredi, cette vulnérabilité n'avait pas été ajoutée au catalogue fédéral des vulnérabilités exploitées connues, tenu par l'Agence pour la cybersécurité et la sécurité des infrastructures. L'entrée d'Apple dans le registre CVE de l'agence néerlandaise affichait toujours l'ancien score de 7,1.
La vulnérabilité concerne la manière dont la fonctionnalité "Partage d'écran" gère l'authentification. La société Huntress attribue la cause à une faille dans l'utilisation par le service du protocole Secure Remote Password, utilisé pour vérifier l'identité de l'utilisateur avant d'accorder l'accès.
Huntress affirme qu'en pratique, cela amène le Mac à croire qu'un intrus est déjà connecté. L'échec se produit avant la vérification du mot de passe. Réinitialiser ou supprimer les mots de passe pour le partage d'écran n'élimine pas cette possibilité.
"Toute personne utilisant la fonctionnalité de partage d'écran d'Apple sur n'importe quelle version supportée de macOS doit immédiatement installer les dernières mises à jour de sécurité", a écrit Ryan Doud, chercheur chez Huntress.
Apple a publié ce correctif dans macOS Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9 le 6 août.
Des dizaines de milliers de Mac en location sont concernés
Le NCSC (Pays-Bas) a déclaré que les ordinateurs des victimes étaient entièrement compromis. Dans chaque cas examiné par les chercheurs, l'attaquant a accédé au système via le port 5900, le port standard pour le partage d'écran, qui restait ouvert sur Internet.
Ils ont ensuite obtenu les privilèges root et déployé un mineur de la cryptomonnaie Monero ($XMR). L'agence néerlandaise n'a pas divulgué le nombre de systèmes affectés ni le nom d'un suspect.
La fonction "Partage d'écran" est désactivée par défaut. Cependant, il s'agit d'un outil standard pour gérer des Mac fonctionnant sur du "bare metal", c'est-à-dire du matériel physique Apple, loué et utilisé dans des centres de données distants, où se concentre la majeure partie des risques.
Selon Doud, en utilisant l'outil d'analyse Internet Censys, il a découvert "des dizaines de milliers d'hôtes potentiellement vulnérables". Beaucoup d'entre eux, selon Huntress, sont des machines louées à l'heure auprès de fournisseurs d'hébergement.
Cryptopolitan a rapporté le logiciel malveillant Reaper, qui exploite l'Éditeur de scripts pour vider les portefeuilles et les dysfonctionnements de macOS incitant les victimes à saisir des commandes malveillantes dans le Terminal.
Le cryptojacking, le vol de puissance de calcul pour générer de la cryptomonnaie, est depuis longtemps une caractéristique de Monero. Contrairement aux installations de minage spécialisées, Monero peut être miné sur des processeurs ordinaires, et ses transactions sont confidentielles par défaut.
Le profit par Mac piraté est faible. Lundi, la valeur estimée des environ 432 $XMR émis quotidiennement par le réseau Monero était d'environ 179 000 dollars, répartis entre tous les mineurs. Lundi, le $XMR s'échangeait à 413,47 dollars, soit environ 0,9% de plus que les 24 heures précédentes.
end-content
