In questo articolo Indice dei contenuti 2 sezioni
Chi utilizza un Mac per assistenza remota farebbe bene a controllare subito la versione del sistema operativo, perché la falla di macOS catalogata come CVE-2026-65400 permette a un attaccante collegato alla stessa rete di autenticarsi al servizio Screen Sharing senza avere credenziali valide. Apple ha già rilasciato le correzioni, ma il problema non è più teorico: il centro nazionale per la sicurezza informatica dei Paesi Bassi ha confermato casi reali di sfruttamento contro Mac raggiungibili da Internet, con ottenimento dei privilegi root e installazione di software per il mining di criptovalute.
Vale la pena ricordare cosa sia Screen Sharing, perché non è un componente marginale. Si tratta del servizio integrato in macOS che consente di controllare a distanza desktop, applicazioni, tastiera e mouse di un altro Mac. Viene usato quotidianamente dai reparti di supporto tecnico, sui Mac mini che lavorano senza monitor collegato e in tutte quelle installazioni server o bare metal dove nessuno siede fisicamente davanti alla macchina. Comodo, comodissimo. Ma se il servizio resta accessibile dall’esterno, la superficie d’attacco si allarga in modo notevole, e i sistemi con la porta TCP 5900 pubblicamente esposta sono i primi della lista.
Un bypass che scatta prima ancora del login
L’analisi tecnica firmata da Huntress individua il difetto nel processo screensharingd e nel percorso di autenticazione basato su Secure Remote Password, abbreviato in SRP. In pratica, un errore nella gestione dello stato durante la validazione della lunghezza dei frame può lasciare in circolo un esito positivo che non dovrebbe più essere valido. Risultato: il servizio considera autenticata una connessione che l’autenticazione non l’ha mai completata davvero. E c’è un dettaglio in più, la sessione può proseguire anche senza le protezioni crittografiche normalmente previste.
Non siamo davanti alla classica vulnerabilità che entra in gioco dopo l’accesso. Qui l’exploit funziona prima della verifica delle credenziali, perfino quando l’autenticazione VNC legacy risulta disattivata e nessun account locale è stato autorizzato all’uso di Screen Sharing. Ecco perché cambiare le password, togliere permessi a singoli utenti o mettere mano soltanto alla configurazione VNC non serve praticamente a nulla come mitigazione.
C’è poi il capitolo delle conseguenze, che va oltre il semplice controllo remoto della sessione. Huntress ha osservato che i componenti privilegiati impiegati nelle operazioni di trasferimento file possono offrire capacità di lettura e scrittura con privilegi elevati. Tradotto: a seconda di come è configurato il Mac, il difetto può trasformarsi in esecuzione di codice e in meccanismi di persistenza, quindi in una presenza stabile sulla macchina.
Le versioni corrette e cosa fare adesso
Apple ha distribuito la patch con macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. Le macchine che girano su build precedenti delle rispettive versioni supportate vanno aggiornate con priorità alta, perché sono proprio queste release a chiudere in modo esplicito CVE-2026-65400.
Il fattore che fa la differenza sul piano operativo resta l’esposizione pubblica della porta 5900. Gli attacchi osservati dal NCSC olandese hanno riguardato sistemi con il servizio abilitato e quella porta raggiungibile da Internet, e in quei casi gli aggressori sono arrivati all’accesso root per poi piazzare miner di criptovalute.
Quando l’aggiornamento non può essere applicato subito, la strada più sensata è disattivare del tutto Screen Sharing. Se invece il servizio è indispensabile per il lavoro quotidiano, va reso raggiungibile soltanto attraverso VPN, rete amministrativa segregata oppure regole firewall restrittive. Mai in chiaro su Internet. Sui Mac che potrebbero essere già stati esposti, poi, la sola patch non chiude il discorso: conviene passare in rassegna processi attivi, file di avvio e possibili meccanismi di persistenza, visto che un accesso con privilegi root può servire anche a sottrarre dati o a preparare intrusioni successive.
