Die kritische Authentifizierungs-Schwachstelle CVE-2026-65400 (CVSS 9.8) in der Screen Sharing‑Komponente des Betriebssystems macOS wird von Angreifern aktiv ausgenutzt, um Root-Zugriff zu erlangen und Monero-Kryptominer zu installieren. Das Nationale Cybersicherheitszentrum der Niederlande (NCSC-NL) hat Fälle der Kompromittierung von Systemen mit offenem Port 5900 dokumentiert. Apple hat außerplanmäßige Updates für macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 und macOS Sonoma 14.8.9 veröffentlicht – alle Nutzer mit aktiviertem Screen Sharing müssen umgehend aktualisieren oder die Funktion deaktivieren.
Der Kern der Schwachstelle CVE-2026-65400
Die Schwachstelle betrifft den Authentifizierungsmechanismus der Screen Sharing-Komponente und ermöglicht es einem Angreifer im Netzwerk, sich beim integrierten Remote-Desktop-Dienst zu authentifizieren, ohne gültige Zugangsdaten vorweisen zu müssen. Nach der Klassifizierung von Apple steht das Problem im Zusammenhang mit fehlerhaftem Zustandsmanagement (state management), was zu einer Desynchronisation des endlichen Authentifizierungsautomaten führt.
Apple hat die Schwachstelle behoben, indem die Mechanismen zur Zustandsverwaltung verbessert wurden, um eine korrekte Validierung der Zugangsdaten sicherzustellen und unautorisierte Authentifizierungsversuche zu verhindern. Der Fix wurde am 6. August 2026 veröffentlicht. Die Entdeckung der Schwachstelle wird dem Forscher Alfredo Pesoli vom Unternehmen Bynario zugeschrieben.
Ein zentrales Merkmal dieser Schwachstelle ist ihre Zugehörigkeit zur Klasse der Logikfehler. Nach Angaben der Forscher von Calif ist kein Umgehen von ASLR, keine Heap-Manipulation und kein Ausnutzen von Race Conditions erforderlich. Es genügt, ein oder zwei Pakete in der richtigen Reihenfolge zu senden – und die Zielmaschine gewährt Zugriff. Der Exploit funktioniert beim ersten Versuch auf jedem ungepatchten System mit aktiviertem Screen Sharing.
Aktive Ausnutzung und Umfang der Bedrohung
Laut dem aktualisierten Bulletin des NCSC-NL hat das Zentrum Meldungen über die aktive Ausnutzung der Schwachstelle auf zahlreichen Systemen erhalten, auf denen Port 5900 (Standardport für VNC/Screen Sharing) aus dem Internet erreichbar war. In allen dokumentierten Fällen erlangten Angreifer Root-Zugriff auf das kompromittierte System und installierten einen Monero-Kryptominer.
Es ist zu beachten, dass zum Zeitpunkt der Veröffentlichung weder Details zu den genauen Zeitpunkten des Beginns der Angriffe noch zu deren Ausmaß vorliegen und auch unklar ist, ob die Schwachstelle vor Veröffentlichung des Patches als Zero-Day-Schwachstelle ausgenutzt wurde. Ebenfalls nicht geklärt ist, ob sich die Aktivitäten der Angreifer ausschließlich auf Kryptomining beschränken. Die Schwachstelle ist bisher nicht im CISA-KEV-Katalog aufgeführt.
Wichtiger Hinweis: Die Aussage über die aktive Ausnutzung stützt sich ausschließlich auf ein einziges behördliches Bulletin des NCSC-NL und wurde weder von Apple noch von CISA unabhängig bestätigt. Dennoch sollte die Bedrohung angesichts der trivialen Ausnutzbarkeit des Logikfehlers und des kritischen CVSS-Werts ernst genommen werden.
Schwachstellen-Cluster in Screen Sharing
CVE-2026-65400 ist kein isoliertes Problem. Nach Angaben von Forschern gehört sie zu einer Reihe von Schwachstellen in der Screen Sharing Server-Komponente, von denen ein Teil bereits früher in macOS Tahoe 26.6 behoben wurde:
- CVE-2026-43779 (CVSS 9.8) – Logikfehler, der es einer Anwendung ermöglicht, Netzwerkverbindungen abzufangen, die für einen anderen Prozess bestimmt sind
- CVE-2026-43777 (CVSS 7.5) – nicht näher spezifiziertes Problem, das es einem entfernten Angreifer erlaubt, einen Denial of Service auszulösen
- CVE-2026-43760 (CVSS 8.6) – Fehler in der Zugriffskontrolle, der es einer Anwendung ermöglicht, auf vertrauliche Benutzerdaten zuzugreifen
Besonders beachtenswert ist der Zusammenhang von CVE-2026-65400 mit einer separaten Pre-Auth-Schwachstelle im screensharingd-Daemon, über die unabhängig ein Forscher mit dem Pseudonym @osxreverser berichtete. Nach seiner Beschreibung erlaubte diese Schwachstelle die Kompromittierung jedes Macs mit aktiviertem Screen Sharing allein unter Kenntnis der IP-Adresse – ohne Passwort oder sonstige Informationen. Diese Schwachstelle wurde in macOS 26.6 behoben.
Nach der Analyse von Calif befinden sich beide Schwachstellen in derselben Quellcodedatei. Die erste (die Schwachstelle von @osxreverser) ist ein Fehler beim Rückgabewert: Die Längenprüfung bei der Verarbeitung eines zu großen Frames wird vorzeitig beendet und gibt den Erfolgscode der vorherigen Leseoperation zurück, was der aufrufende Code als erfolgreiches Bestehen der Authentifizierungsphase interpretiert. Die zweite (CVE-2026-65400) ist eine Desynchronisation des endlichen Automaten, die die Kenntnis des Kontonamens erfordert, was jedoch keine ernsthafte Hürde darstellt, da macOS die Benutzernamen auf dem Anmeldebildschirm anzeigt.
Die Rolle von KI bei der Beschleunigung der Ausnutzung
Besondere Aufmerksamkeit verdient die Aussage des Unternehmens Calif, dass ein KI-Agent innerhalb von vier Stunden funktionsfähige Exploits für beide Schwachstellen erstellt habe. Auch wenn diese Behauptung aus nur einer Quelle stammt und nicht unabhängig überprüft werden kann, verdeutlicht sie eine besorgniserregende Tendenz: Logikfehler, die keine komplexen Techniken zum Umgehen von Schutzmechanismen erfordern, sind besonders anfällig für automatisierte Analysen. Calif berichtet, dass das Unternehmen genau aus diesem Grund vorerst auf die Veröffentlichung vollständiger technischer Details zu CVE-2026-65400 verzichtet, bis die Mehrheit der Nutzer die Updates installiert hat.
Bewertung der Auswirkungen
Am stärksten gefährdet sind macOS-Systeme mit aktiviertem Screen Sharing oder Remote Management, die aus dem Internet über Port 5900 erreichbar sind. Laut unbestätigten Angaben aus sozialen Netzwerken wurden im Internet etwa 40.000 solcher Hosts gefunden, vorwiegend in den USA, darunter Systeme von Universitäten und Unternehmen. Diese Zahl ist mit Vorsicht zu genießen – sie basiert auf einem einzelnen Beitrag in einem sozialen Netzwerk ohne Vorlage belastbarer Nachweise.
Das Erlangen von Root-Zugriff über diese Schwachstelle bedeutet eine vollständige Kompromittierung des Systems. Auch wenn die bisher beobachtete Aktivität auf Kryptomining beschränkt ist, kann derselbe Angriffsvektor für Datendiebstahl, das Einrichten von Backdoors, laterale Bewegung im Netzwerk und das Ausrollen von Ransomware genutzt werden.
Empfehlungen zum Schutz
- Aktualisieren Sie macOS umgehend auf die neuesten Versionen: macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 oder macOS Sonoma 14.8.9
- Wenn ein Update derzeit nicht möglich ist – deaktivieren Sie Screen Sharing: Systemeinstellungen → Allgemein → Freigaben → Screen Sharing auf „Aus“ stellen
- Prüfen Sie die Erreichbarkeit von Port 5900 aus externen Netzen. Remote-Zugriffsdienste sollten nicht direkt aus dem Internet erreichbar sein – verwenden Sie VPN oder SSH-Tunneling
- Führen Sie einen Audit der Systeme durch, auf denen Screen Sharing aktiviert und Port 5900 von außen erreichbar war, und suchen Sie nach Anzeichen einer Kompromittierung: unautorisierte Prozesse, unbekannte Einträge in sudoers, laufende Kryptomining-Prozesse
- Überprüfen Sie die Protokolle auf verdächtige Verbindungen zu Port 5900 von unbekannten IP-Adressen
Die Kombination mehrerer Faktoren – triviale Ausnutzbarkeit, kritischer CVSS-Wert 9.8, bestätigte aktive Ausnutzung und das Vorhandensein mehrerer zusammenhängender Schwachstellen in derselben Komponente – macht die Aktualisierung von macOS und die Überprüfung der Screen Sharing-Konfiguration zu Aufgaben höchster Priorität. Organisationen, die macOS in Unternehmensumgebungen einsetzen, sollten unabhängig vom Update-Status einen vollständigen Ausschluss des direkten Zugriffs auf Screen Sharing aus externen Netzen auf Firewall-Ebene in Erwägung ziehen.
