NCSC alerta sobre explotación activa de fallo en Screen Sharing de macOS
NCSC alerta de ataques activos explotando Screen Sharing. Cuando puerto 5900 está expuesto, atacantes obtienen acceso root e instalan mineros de Monero. Actualizar urgente.
El Centro Nacional de Ciberseguridad de Países Bajos (NCSC) advierte que atacantes están explotando activamente CVE-2026-65400, una vulnerabilidad de autenticación en Screen Sharing de macOS. Tras la publicación de código de exploit, el NCSC recibió reportes indicando explotación activa en sistemas donde el puerto 5900 estaba expuesto a internet. En todos los casos documentados, los atacantes lograron acceso root e instalaron mineros de criptomoneda Monero.
Por qué importa: Screen Sharing es una característica integrada que usa VNC sobre el puerto 5900. Su exposición accidental a internet, combinada con este fallo de autenticación, permite acceso remoto sin credenciales válidas, comprometiendo completamente la máquina.
Lo esencial
CVE-2026-65400 permite a atacantes de red sortear autenticación en Screen Sharing sin usar credenciales válidas
Apple arregló la vulnerabilidad el 6 de agosto en macOS Tahoe 26.6.1, Sequoia 15.7.9 y Sonoma 14.8.9
Ataques documentados lograron acceso root e instalaron mineros Monero en sistemas comprometidos
Cómo el fallo compromete el acceso remoto
La vulnerabilidad reside en los mecanismos de gestión de estado de Screen Sharing, que no validaban correctamente las credenciales durante intentos de autenticación remotos. Un atacante con acceso de red podía sortear estas validaciones y obtener control remoto sobre la máquina sin proporcionar contraseña alguna. El protocolo VNC utilizado por Screen Sharing funcionaría sobre el puerto TCP 5900.
Minería de Monero como objetivo principal documentado
En los incidentes reportados al NCSC, tras obtener acceso root, los atacantes ejecutaron mineros de criptomoneda Monero en las máquinas comprometidas. El NCSC no compartió detalles adicionales sobre la escala de los ataques, cuándo comenzaron o si otras acciones maliciosas ocurrieron en paralelo a la minería.
Versiones seguras y medidas inmediatas
Apple lanzó parches el 6 de agosto que refuerzan los mecanismos de validación de credenciales. Los usuarios deben actualizar a macOS Tahoe 26.6.1, Sequoia 15.7.9 o Sonoma 14.8.9. Como medida temporal si la actualización no es posible, desactivar Screen Sharing es suficiente: Configuración del Sistema → General → Compartir → Screen Sharing.
