In breve
CVE-2026-65400 è una falla di esecuzione di codice remoto nella condivisione schermo di macOS, sfruttabile senza autenticazione preventiva. Il 12 agosto 2026 l'NCSC-NL olandese ne ha confermato lo sfruttamento attivo: gli attaccanti cercano i Mac con la porta TCP 5900 raggiungibile da Internet, aggirano l'autenticazione Secure Remote Password con un solo pacchetto malformato, ottengono i permessi root e installano un miner Monero. Apple ha corretto la falla con un aggiornamento d'emergenza il 6 agosto; la CISA ha alzato la gravità da 7.1 a CVSS 9.8 il 14 agosto. Ogni dispositivo macOS con la condivisione schermo attiva e la porta 5900 accessibile da Internet va aggiornato o messo in sicurezza immediatamente.
Cosa consente CVE-2026-65400
La condivisione schermo di macOS usa il protocollo VNC sulla porta TCP 5900. L'autenticazione è gestita da screensharingd, il servizio di sistema che implementa lo scambio Secure Remote Password (SRP) di Apple: una prova a conoscenza zero che verifica che l'utente conosca la password dell'account senza trasmetterla in chiaro.
CVE-2026-65400 si trova nella validazione della lunghezza dei frame di questa implementazione SRP. Quando il servizio elabora determinati frame malformati inviati dal client, legge uno stato di successo obsoleto proveniente da una fase precedente dell'handshake e lo interpreta come autenticazione completata, prima ancora che l'utente abbia dimostrato di conoscere una password. Risultato: screensharingd concede all'attaccante una sessione VNC pienamente autenticata in esecuzione come root. Nessun nome utente, nessuna password, nessuna interazione dell'utente.
Un penetration test o audit di sicurezza di qualsiasi ambiente con endpoint macOS e porta 5900 esposta classificherebbe questo problema come vulnerabilità critica da correggere immediatamente. L'attacco è automatizzabile su larga scala: scansionare Internet alla ricerca della porta 5900 e inviare il pacchetto di handshake malformato è un'operazione in un solo passaggio che qualsiasi attaccante competente può rendere operativa in poche ore.
Sfruttamento attivo: accesso root e Monero
Il Centro nazionale olandese per la sicurezza informatica (NCSC-NL) ha diramato un'allerta il 12 agosto 2026: gli attaccanti stanno sfruttando attivamente CVE-2026-65400 contro Mac con la porta 5900 esposta su Internet. In tutti i casi segnalati all'agenzia l'attaccante ha ottenuto l'accesso root e installato un miner di criptovaluta Monero (XMR) che porta la CPU al massimo carico.
Monero è la criptovaluta preferita per il cryptojacking perché il suo algoritmo proof-of-work randomizzato (RandomX) gira in modo efficiente sulle normali CPU anziché sulle GPU e il suo grafo delle transazioni non è tracciabile pubblicamente: attribuzione e congelamento dei fondi diventano di fatto impossibili. Il payload osservato è coerente con famiglie note di miner Monero distribuite in recenti campagne contro i Mac.
Il 14 agosto 2026 la CISA ha inserito CVE-2026-65400 nel catalogo Known Exploited Vulnerabilities (KEV), alzandone contestualmente il punteggio da CVSS 7.1 a 9.8 (critico). La nuova valutazione riflette l'attacco automatizzabile confermato, l'assenza di qualsiasi requisito di autenticazione e l'impatto a livello root in tutti gli incidenti segnalati. Le agenzie federali statunitensi devono correggere le voci KEV entro 14 giorni; alle organizzazioni civili si raccomanda di trattarle come emergenze a tutti gli effetti.
Chi è a rischio: postazioni di sviluppo e runner CI
La superficie più evidente è qualsiasi Mac con la condivisione schermo attiva e la porta 5900 raggiungibile dall'esterno di un perimetro di rete protetto. Ma per le aziende che sviluppano software il profilo di rischio è più ampio di quanto sembri:
- Postazioni degli sviluppatori: gli sviluppatori attivano spesso la condivisione schermo per il pair programming, l'assistenza remota o il lavoro da casa. Un Mac in smart working, o un portatile collegato brevemente a una rete aperta con la condivisione attiva, è esposto agli attacchi basati su scansione.
- Runner CI macOS: le pipeline iOS e macOS si basano su agenti di build macOS (runner GitHub Actions self-hosted, runner GitLab CI, agenti Jenkins). Su queste macchine la condivisione schermo è spesso attiva per il debug remoto delle build fallite. Un runner compromesso può iniettare codice malevolo negli artefatti, sottrarre i certificati di firma o rubare le credenziali cloud presenti nel suo ambiente.
- Mac accessibili da remoto: i team che usano Mac come jump host o desktop remoti, ad esempio per testare Safari o il simulatore iOS, configurano spesso un port forwarding da IP pubblici verso queste macchine.
Il miner di criptovaluta è l'esito opportunistico. Un attaccante mirato con lo stesso accesso root su una macchina di build ha opzioni ben più dannose: backdoor persistenti, furto di certificati, esfiltrazione del codice sorgente e avvelenamento della supply chain degli artefatti software.
Cosa significa per i team software in Italia
L'integrità della pipeline di build è il rischio più alto. Un runner CI macOS compromesso può manomettere gli artefatti a valle. Ogni applicazione firmata su quella macchina dopo la compromissione va considerata sospetta finché il runner non viene reinstallato e riverificato. I team che pubblicano app iOS o macOS dovrebbero censire i propri host di build macOS e confermarne l'aggiornamento o l'isolamento prima del prossimo rilascio.
Cosa significa per il mercato italiano. Nelle software house, nelle agenzie digitali e nei team che sviluppano app iOS, i Mac sono molto usati come postazioni di sviluppo e come runner di build. Se una macchina compromessa espone dati personali, l'articolo 33 del GDPR impone la notifica al Garante per la protezione dei dati personali entro 72 ore. Per i soggetti che rientrano nella NIS2, recepita in Italia con il D.Lgs. 138/2024, gli incidenti significativi vanno inoltre notificati al CSIRT Italia dell'Agenzia per la Cybersicurezza Nazionale (ACN). Il fatto che l'allerta sullo sfruttamento attivo sia arrivata dall'NCSC-NL olandese conferma che la campagna colpisce direttamente anche le reti europee, non solo quelle statunitensi.
I settori regolamentati sommano le esposizioni. Banche, assicurazioni e fintech soggette a DORA devono gestire le vulnerabilità con tempi di correzione documentati; i team HealthTech che trattano dati sanitari ricadono tra le categorie particolari di dati del GDPR, con requisiti di sicurezza più stringenti. Una falla con CVSS 9.8 sfruttata attivamente su sistemi di produzione è un evento di rischio rilevante, da iscrivere nel registro dei rischi con una data di remediation documentata, anche per i team che dimostrano ai clienti la conformità SOC 2 o ISO 27001.
Gli ambienti di smart working sono poco censiti. Molte organizzazioni tecniche non sanno con precisione su quali Mac, personali o aziendali, dei propri collaboratori la condivisione schermo sia attiva e raggiungibile fuori dalla VPN aziendale. Questo incidente è l'occasione per fare l'inventario: una scansione di rete della porta 5900 su tutti gli endpoint gestiti è semplice e richiede pochi minuti.
Cosa fare adesso
| Azione | Priorità | Note |
|---|---|---|
| Aggiornare a macOS Tahoe 26.6.1, Sequoia 15.7.9 o Sonoma 14.8.9 | Emergenza — oggi | L'aggiornamento d'emergenza di Apple del 6 agosto chiude CVE-2026-65400. È l'unica correzione definitiva. |
| Disattivare la condivisione schermo se l'aggiornamento tarda | Emergenza | Impostazioni di Sistema > Generali > Condivisione > Condivisione schermo: disattivare. La superficie d'attacco sparisce subito. |
| Bloccare la porta TCP 5900 sul perimetro di rete | Emergenza | Impedisce lo sfruttamento anche se la condivisione schermo resta attiva su host interni non raggiungibili direttamente da Internet. |
| Verificare condivisione schermo e livello di patch dei runner CI macOS | Critica — in questo sprint | Gli agenti di build compromessi sono un rischio per la supply chain. Reinstallare ogni runner rimasto senza patch con la condivisione esposta su Internet. |
| Cercare segni di compromissione sui Mac esposti | Critica — in questo sprint | Uso della CPU elevato e costante, processi sconosciuti in Monitoraggio Attività, nuovi cron job o LaunchDaemon, connessioni in uscita inattese verso pool.monero.* o altri mining pool. |
| Scansionare la porta 5900 su tutti gli endpoint gestiti | Questa settimana | Individuare ogni dispositivo con la condivisione schermo raggiungibile dall'esterno della rete aziendale e aggiornarlo con priorità o disattivare il servizio. |
| Documentare la remediation ai fini della conformità | Entro 5 giorni lavorativi | GDPR, NIS2, DORA, SOC 2: registrare le date delle patch e le misure compensative; in caso di accesso a dati personali, verificare l'obbligo di notifica al Garante entro 72 ore. |
La vostra infrastruttura di build macOS è esposta? Il servizio di penetration test e audit di sicurezza di YuSMP Group copre l'hardening delle pipeline macOS e iOS, la valutazione della superficie d'attacco dei runner CI e indicazioni di remediation allineate a GDPR, NIS2, DORA e SOC 2. Un incarico ben definito può partire in pochi giorni.
Fonti: BleepingComputer — Hackers exploit macOS Screen Sharing flaw to deploy Monero miner (14 agosto 2026); The Hacker News — Apple macOS Screen Sharing Flaw Actively Exploited to Mine Monero (15 agosto 2026); Tom's Hardware — CISA bumps CVE-2026-65400 to 9.8 severity following active Monero cryptojacking attacks (14 agosto 2026).
FAQ
Che cos'è CVE-2026-65400?
CVE-2026-65400 è una vulnerabilità di aggiramento dell'autenticazione in screensharingd, il servizio di macOS alla base della condivisione schermo integrata (VNC) sulla porta 5900. Una validazione errata della lunghezza dei frame nello scambio Secure Remote Password (SRP) fa sì che il servizio restituisca uno stato di successo obsoleto prima che l'autenticazione sia completata. Così un attaccante remoto non autenticato può ottenere i permessi root su qualsiasi Mac con la condivisione schermo attiva e la porta 5900 raggiungibile da Internet. Apple l'ha corretta il 6 agosto 2026 in macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9.
Quali versioni di macOS sono interessate?
Sono interessate tutte le versioni di macOS che includono la condivisione schermo: macOS Sonoma fino alla 14.8.8, macOS Sequoia fino alla 15.7.8 e macOS Tahoe fino alla 26.6.0. La correzione è disponibile in macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. Installate subito l'aggiornamento. Se non è possibile, disattivate la condivisione schermo in Impostazioni di Sistema > Generali > Condivisione.
Perché la CISA ha alzato la gravità a CVSS 9.8?
In un primo momento la CISA aveva adottato il punteggio CVSS 7.1 assegnato da Apple, ma il 14 agosto 2026 lo ha portato a 9.8 (critico) dopo aver confermato che l'attacco è automatizzabile, non richiede interazione dell'utente ed è sfruttato attivamente. Un punteggio di 9.8 indica bassa complessità d'attacco, nessun privilegio richiesto e impatto elevato su riservatezza, integrità e disponibilità.
Le postazioni di sviluppo e gli agenti CI sono a rischio?
Sì. Gli sviluppatori attivano spesso la condivisione schermo per il pair programming o l'assistenza remota, e i runner CI macOS delle pipeline iOS e macOS la tengono spesso attiva per il debug. Qualsiasi macchina di questo tipo con la porta 5900 raggiungibile dall'esterno di una LAN protetta è esposta. In caso di compromissione, l'attaccante ottiene accesso root a codice sorgente, certificati di firma, credenziali cloud e alla pipeline di build stessa: è un rischio di supply chain, non solo una questione di igiene degli endpoint.
Cosa devono fare subito i team?
Tre passaggi: (1) Applicare la patch, aggiornando tutti i dispositivi macOS a Tahoe 26.6.1, Sequoia 15.7.9 o Sonoma 14.8.9. (2) Se l'aggiornamento tarda, disattivare la condivisione schermo in Impostazioni di Sistema > Generali > Condivisione e bloccare la porta TCP 5900 sul perimetro o sul firewall dell'host. (3) Verificare eventuali compromissioni: processi sconosciuti con uso elevato della CPU (i miner Monero la saturano), connessioni in uscita insolite, nuovi account o cron job aggiunti senza autorizzazione. Se possono essere stati esposti dati personali, valutare la notifica al Garante entro 72 ore.