Die Kurzfassung
CVE-2026-65400 ist eine Remote-Code-Execution-Lücke in der macOS-Bildschirmfreigabe, die sich ohne vorherige Anmeldung ausnutzen lässt. Das niederländische NCSC-NL hat die aktive Ausnutzung am 12. August 2026 bestätigt: Angreifer scannen nach Macs, deren TCP-Port 5900 aus dem Internet erreichbar ist, umgehen mit einem einzigen manipulierten Paket die Secure-Remote-Password-Authentifizierung, erlangen Root-Rechte und installieren einen Monero-Miner. Apple hat die Lücke am 6. August per Notfall-Update geschlossen, die CISA hat den Schweregrad am 14. August von 7.1 auf CVSS 9.8 angehoben. Jedes macOS-Gerät mit aktiver Bildschirmfreigabe und offenem Port 5900 muss sofort gepatcht oder abgesichert werden.
Was CVE-2026-65400 bewirkt
Die Bildschirmfreigabe unter macOS nutzt das VNC-Protokoll über TCP-Port 5900. Die Anmeldung übernimmt screensharingd, der Systemdienst, der Apples Secure-Remote-Password-Verfahren (SRP) umsetzt – einen Zero-Knowledge-Nachweis, der prüft, ob jemand das Kontopasswort kennt, ohne es im Klartext zu übertragen.
CVE-2026-65400 steckt in der Prüfung der Frame-Länge innerhalb dieser SRP-Implementierung. Verarbeitet der Dienst bestimmte fehlerhafte Client-Frames, liest er einen veralteten Erfolgsstatus aus einer früheren Phase des Handshakes und wertet ihn als abgeschlossene Authentifizierung – bevor überhaupt ein Passwort nachgewiesen wurde. Ergebnis: screensharingd gewährt dem Angreifer eine vollständig authentifizierte VNC-Sitzung mit Root-Rechten. Kein Benutzername, kein Passwort, keine Interaktion des Nutzers nötig.
Ein Penetrationstest oder Security-Audit jeder Umgebung mit macOS-Endgeräten und offenem Port 5900 würde das als kritischen Befund mit sofortigem Handlungsbedarf einstufen. Der Angriff lässt sich massenhaft automatisieren: Das Internet nach Port 5900 abzusuchen und das manipulierte Handshake-Paket zu senden, ist ein einziger Schritt, den jeder halbwegs versierte Angreifer innerhalb weniger Stunden einsatzbereit hat.
Aktive Ausnutzung: Root-Zugriff und Monero
Das niederländische Nationale Cyber-Sicherheitszentrum (NCSC-NL) hat am 12. August 2026 gewarnt, dass Angreifer CVE-2026-65400 aktiv gegen Macs mit öffentlich erreichbarem Port 5900 einsetzen. In jedem der Behörde gemeldeten Fall erlangte der Angreifer Root-Zugriff und installierte einen Monero-Kryptominer (XMR), der die CPU des Rechners voll auslastet.
Monero ist beim Cryptojacking die bevorzugte Währung, weil sein randomisierter Proof-of-Work-Algorithmus (RandomX) effizient auf gewöhnlichen CPUs statt auf GPUs läuft und sein Transaktionsgraph öffentlich nicht nachvollziehbar ist – Zuordnung und Einfrieren von Geldern sind damit praktisch unmöglich. Die beobachtete Schadsoftware entspricht bekannten Monero-Mining-Familien aus jüngeren Kampagnen gegen Macs.
Die CISA hat CVE-2026-65400 am 14. August 2026 in ihren Katalog „Known Exploited Vulnerabilities“ (KEV) aufgenommen und die Lücke gleichzeitig von CVSS 7.1 auf 9.8 (kritisch) hochgestuft. Die Neubewertung spiegelt den bestätigten automatisierbaren Angriff, die fehlende Authentifizierungshürde und die Root-Auswirkung in allen gemeldeten Fällen wider. US-Bundesbehörden müssen KEV-Einträge innerhalb von 14 Tagen beheben; zivilen Organisationen wird empfohlen, KEV-Einträge faktisch als Notfall zu behandeln.
Wer gefährdet ist: Entwickler-Macs und CI-Runner
Offensichtlich betroffen ist jeder Mac mit aktiver Bildschirmfreigabe, dessen Port 5900 von außerhalb eines geschützten Netzwerkperimeters erreichbar ist. Für Softwareunternehmen ist das Risikoprofil jedoch breiter, als es zunächst scheint:
- Entwickler-Arbeitsplätze: Engineers aktivieren die Bildschirmfreigabe häufig für Pair Programming, Remote-Support oder den Zugriff aus dem Homeoffice. Ein Mac im Homeoffice oder ein Laptop, der kurz mit aktivierter Freigabe in einem offenen Netz hängt, ist für scanbasierte Angriffe erreichbar.
- macOS-CI-Runner: iOS- und macOS-Pipelines setzen auf macOS-Build-Agenten (selbst gehostete GitHub-Actions-Runner, GitLab-CI-Runner, Jenkins-Agenten). Auf diesen Maschinen ist die Bildschirmfreigabe oft aktiv, um fehlgeschlagene Builds aus der Ferne zu debuggen. Ein kompromittierter Runner kann Schadcode in Build-Artefakte einschleusen, Signaturzertifikate abziehen oder Cloud-Zugangsdaten aus seiner Umgebung stehlen.
- Fernzugängliche Macs: Teams, die Macs als Jump-Host oder Remote-Desktop nutzen – etwa um Safari oder den iOS-Simulator aus der Ferne zu testen –, richten oft eine Portweiterleitung von öffentlichen IP-Adressen auf diese Rechner ein.
Der Kryptominer ist das opportunistische Ergebnis. Ein gezielt vorgehender Angreifer mit demselben Root-Zugriff auf einem Build-Server hat weit gefährlichere Optionen: dauerhafte Hintertüren, Zertifikatsdiebstahl, Abfluss von Quellcode und Supply-Chain-Vergiftung ausgelieferter Software.
Was das für Softwareteams im DACH-Raum bedeutet
Die Integrität der Build-Pipeline ist das größte Risiko. Ein kompromittierter macOS-CI-Runner kann nachgelagerte Artefakte manipulieren. Jede App, die nach der Kompromittierung auf dieser Maschine signiert wurde, gilt als verdächtig, bis der Runner neu aufgesetzt und erneut verifiziert ist. Teams, die iOS- oder macOS-Apps ausliefern, sollten ihr Inventar an macOS-Build-Hosts prüfen und Patch-Stand oder Isolation vor dem nächsten Release bestätigen.
Was das für den DACH-Markt bedeutet. In Agenturen, Start-ups und Entwicklungsabteilungen in Deutschland, Österreich und der Schweiz sind Macs als Entwickler- und Build-Rechner weit verbreitet – gerade iOS-Teams betreiben häufig eigene Mac-mini-Farmen als CI-Runner. Wird auf einem kompromittierten Rechner auf personenbezogene Daten zugegriffen, greift die Meldepflicht nach Art. 33 DSGVO: Die zuständige Datenschutzaufsicht ist in der Regel binnen 72 Stunden zu informieren. Dass die Warnung zur aktiven Ausnutzung vom niederländischen NCSC-NL kam, zeigt zudem, dass die Angriffswelle europäische Netze unmittelbar trifft und nicht nur die USA.
Regulierte Branchen tragen ein doppeltes Risiko. Finanzunternehmen unter BaFin-Aufsicht unterliegen seit Januar 2025 DORA und müssen Schwachstellen nachvollziehbar und fristgerecht behandeln; Betreiber kritischer Infrastrukturen melden erhebliche Störungen an das BSI, und mit der NIS2-Umsetzung wächst der Kreis meldepflichtiger Unternehmen deutlich. Eine aktiv ausgenutzte Lücke mit CVSS 9.8 auf produktiven Systemen ist ein wesentliches Risikoereignis, das mit dokumentiertem Behebungsdatum ins Risikoregister gehört – ebenso für Teams mit SOC-2- oder ISO-27001-Nachweisen gegenüber Kunden.
Homeoffice-Umgebungen sind schlecht inventarisiert. Viele Engineering-Organisationen wissen nicht genau, auf welchen privaten oder dienstlichen Macs ihrer Mitarbeitenden die Bildschirmfreigabe aktiv und außerhalb des Firmen-VPN erreichbar ist. Dieser Vorfall ist der Anlass, diese Bestandsaufnahme nachzuholen – ein Netzwerkscan nach offenem Port 5900 über alle verwalteten Endgeräte ist einfach und dauert nur Minuten.
Was jetzt zu tun ist
| Maßnahme | Priorität | Hinweise |
|---|---|---|
| Auf macOS Tahoe 26.6.1, Sequoia 15.7.9 oder Sonoma 14.8.9 aktualisieren | Notfall – heute | Apples Notfall-Update vom 6. August schließt CVE-2026-65400. Das ist die einzige endgültige Lösung. |
| Bildschirmfreigabe deaktivieren, falls das Update sich verzögert | Notfall | Systemeinstellungen > Allgemein > Teilen > Bildschirmfreigabe – ausschalten. Die Angriffsfläche verschwindet sofort. |
| TCP-Port 5900 am Netzwerkperimeter sperren | Notfall | Verhindert die Ausnutzung auch dann, wenn die Bildschirmfreigabe auf internen, aus dem Internet nicht direkt erreichbaren Hosts aktiv bleibt. |
| macOS-CI-Runner auf Bildschirmfreigabe und Patch-Stand prüfen | Kritisch – in diesem Sprint | Kompromittierte Build-Agenten sind ein Supply-Chain-Risiko. Jeden Runner neu aufsetzen, der ungepatcht mit Freigabe aus dem Internet erreichbar war. |
| Exponierte Macs auf Spuren einer Kompromittierung untersuchen | Kritisch – in diesem Sprint | Dauerhaft hohe CPU-Last, unbekannte Prozesse in der Aktivitätsanzeige, neue Cronjobs oder LaunchDaemons, unerwartete Verbindungen zu pool.monero.* oder anderen Mining-Pools. |
| Verwaltete Endgeräte auf offenen Port 5900 scannen | Diese Woche | Jedes Gerät mit von außen erreichbarer Bildschirmfreigabe identifizieren und vorrangig patchen oder den Dienst abschalten. |
| Behebung für Compliance-Nachweise dokumentieren | Innerhalb von 5 Werktagen | DSGVO, NIS2, DORA, SOC 2: Patch-Daten und Übergangsmaßnahmen festhalten; bei Zugriff auf personenbezogene Daten die 72-Stunden-Frist nach Art. 33 DSGVO prüfen. |
Ist Ihre macOS-Build-Infrastruktur angreifbar? Der Service Penetrationstests und Security-Audits der YuSMP Group umfasst die Härtung von macOS- und iOS-Pipelines, die Bewertung der Angriffsfläche von CI-Runnern und Empfehlungen zur Behebung im Einklang mit DSGVO, NIS2, DORA und SOC 2. Ein klar abgegrenztes Projekt starten Sie innerhalb weniger Tage.
Quellen: BleepingComputer — Hackers exploit macOS Screen Sharing flaw to deploy Monero miner (14. August 2026); The Hacker News — Apple macOS Screen Sharing Flaw Actively Exploited to Mine Monero (15. August 2026); Tom's Hardware — CISA bumps CVE-2026-65400 to 9.8 severity following active Monero cryptojacking attacks (14. August 2026).
FAQ
Was ist CVE-2026-65400?
CVE-2026-65400 ist eine Authentifizierungsumgehung in screensharingd, dem macOS-Dienst hinter der integrierten Bildschirmfreigabe (VNC) auf Port 5900. Eine fehlerhafte Prüfung der Frame-Länge im Secure-Remote-Password-Austausch (SRP) lässt den Dienst einen veralteten Erfolgsstatus zurückgeben, bevor die Anmeldung abgeschlossen ist. Dadurch kann ein nicht authentifizierter Angreifer aus der Ferne Root-Rechte auf jedem Mac erlangen, dessen Bildschirmfreigabe aktiv und dessen Port 5900 aus dem Internet erreichbar ist. Apple hat die Lücke am 6. August 2026 in macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9 geschlossen.
Welche macOS-Versionen sind betroffen?
Betroffen sind alle macOS-Versionen mit Bildschirmfreigabe – macOS Sonoma bis 14.8.8, macOS Sequoia bis 15.7.8 und macOS Tahoe bis 26.6.0. Die Korrektur steckt in macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9. Installieren Sie das Update sofort. Ist das nicht möglich, deaktivieren Sie die Bildschirmfreigabe unter Systemeinstellungen > Allgemein > Teilen.
Warum hat die CISA den Schweregrad auf CVSS 9.8 angehoben?
Die CISA hatte zunächst Apples CVSS-Wert von 7.1 übernommen, stufte CVE-2026-65400 am 14. August 2026 aber auf 9.8 (kritisch) hoch, nachdem bestätigt war, dass der Angriff automatisierbar ist, keine Nutzerinteraktion erfordert und aktiv ausgenutzt wird. CVSS 9.8 bedeutet: geringe Angriffskomplexität, keine Berechtigungen nötig und jeweils hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Sind Entwicklerrechner und CI-Agenten gefährdet?
Ja. Engineers aktivieren die Bildschirmfreigabe häufig für Pair Programming oder Remote-Support, und macOS-CI-Runner in iOS- und macOS-Pipelines haben sie oft zum Debuggen aktiv. Jede dieser Maschinen, deren Port 5900 von außerhalb eines abgesicherten LAN erreichbar ist, ist exponiert. Nach einer Kompromittierung haben Angreifer Root-Zugriff auf Quellcode, Signaturzertifikate, Cloud-Zugangsdaten und die Build-Pipeline selbst – das ist ein Supply-Chain-Risiko, nicht nur eine Frage der Endgerätehygiene.
Was sollten Teams sofort tun?
Drei Schritte: (1) Patchen – alle macOS-Geräte auf Tahoe 26.6.1, Sequoia 15.7.9 oder Sonoma 14.8.9 aktualisieren. (2) Verzögert sich das Update, die Bildschirmfreigabe unter Systemeinstellungen > Allgemein > Teilen abschalten und TCP-Port 5900 am Perimeter oder in der Host-Firewall sperren. (3) Auf Kompromittierung prüfen – nach unbekannten Prozessen mit hoher CPU-Last (Monero-Miner lasten die CPU voll aus), ungewöhnlichen ausgehenden Verbindungen sowie neuen Konten oder Cronjobs suchen. Wurden personenbezogene Daten berührt, die 72-Stunden-Meldefrist nach Art. 33 DSGVO beachten.