جزئیات فنی آسیب‌پذیری در قابلیت اسکرین شیرینگ
این آسیب‌پذیری در قابلیت داخلی اسکرین شیرینگ مک‌اواس قرار دارد؛ قابلیتی که امکان کنترل دسکتاپ از راه دور را از طریق شبکه فراهم می‌کند. این سرویس برای برقراری ارتباط از پروتکل VNC (Virtual Network Computing) استفاده می‌کند و ارتباط آن از طریق پورت TCP شماره 5900 انجام می‌شود.
اپل در تاریخ 6 آگوست، آسیب‌پذیری CVE-2026-65400 را در نسخه مک‌اواس تاهو 26.6.1 (macOS Tahoe) و نسخه‌های پیش از آن برطرف کرد. این آسیب‌پذیری به مهاجمان شبکه‌ای اجازه می‌دهد بدون در اختیار داشتن اعتبارنامه معتبر به سیستم دسترسی پیدا کنند.
در صورت موفقیت حمله، مهاجم می‌تواند از این دسترسی برای اجرای اپلیکیشن‌ها از راه دور، دسترسی به فایل‌ها، تغییر تنظیمات امنیتی و انجام اقدامات مختلف روی سیستم استفاده کند.
سوءاستفاده از آسیب‌پذیری قابلیت اسکرین شیرینگ در حملات واقعی
مرکز ملی امنیت سایبری هلند (NCSC) اعلام کرده است که این آسیب‌پذیری در حملات واقعی علیه چندین سیستم مورد سوءاستفاده قرار گرفته است. این حملات سیستم‌هایی را هدف قرار داده‌اند که پورت 5900 آن‌ها مستقیماً از طریق اینترنت در دسترس قرار داشته است.
بر اساس گزارش NCSC، مهاجمان پس از دسترسی به سیستم، توانسته‌اند سطح دسترسی Root را به دست آورند و سپس یک ماینر رمزارز مونرو روی سیستم مستقر کنند. به این ترتیب، مهاجمان از منابع پردازشی سیستم قربانی برای استخراج رمزارز استفاده کرده‌اند.
NCSC تأکید کرده است که موارد مشابه روی چندین سیستم مشاهده شده و در تمام نمونه‌های بررسی‌شده، مهاجمان پس از نفوذ به سیستم به دسترسی Root دست یافته و ماینر مونرو را مستقر کرده‌اند. این موارد نشان می‌دهد در دسترس بودن سرویس اسکرین شیرینگ از طریق اینترنت، می‌تواند این آسیب‌پذیری را به نقطه ورود مهاجمان برای نفوذ به سیستم و سوءاستفاده از منابع آن تبدیل کند.
پچ امنیتی اپل برای آسیب‌پذیری CVE-2026-65400
اپل با انتشار نسخه‌های جدید مک‌اواس، آسیب‌پذیری CVE-2026-65400 را برطرف کرده است. کاربران مک‌اواس باید سیستم خود را به یکی از نسخه‌های زیر به‌روزرسانی کنند:
- macOS Tahoe 26.6.1
- macOS Sequoia 15.7.9
- macOS Sonoma 14.8.9
این نسخه‌ها سازوکار مدیریت وضعیت را اصلاح کرده‌اند تا سیستم بتواند اعتبارنامه‌ها را به‌درستی اعتبارسنجی کند و مانع تلاش‌های احراز هویت غیرمجاز شود.
اگر نصب فوری به‌روزرسانی‌های امنیتی امکان‌پذیر نیست، کاربران در صورت عدم نیاز به قابلیت اسکرین شیرینگ می‌توانند از طریق تنظیمات سیستم (System Settings)، وارد بخش عمومی (General) و سپس اشتراک‌گذاری (Sharing) شوند و گزینه اسکرین شیرینگ (Screen Sharing) را غیرفعال کنند.
غیرفعال کردن این قابلیت، به‌ویژه در سیستم‌هایی که نیازی به کنترل دسکتاپ از راه دور ندارند، می‌تواند سطح حمله (Attack Surface) را کاهش دهد.
جزئیات حملات و دامنه تأثیر هنوز مشخص نیست
مرکز ملی امنیت سایبری هلند (NCSC) تاکنون جزئیات بیشتری درباره حملات گزارش‌شده منتشر نکرده است. این نهاد هنوز اعلام نکرده است که این حملات از چه زمانی آغاز شده‌اند، چه تعداد سیستم را تحت تأثیر قرار داده‌اند و آیا فعالیت مهاجمان تنها به استخراج رمزارز محدود بوده است یا اهداف دیگری را نیز دنبال کرده‌اند.
با وجود تأیید استقرار ماینر مونرو و استفاده مهاجمان از قابلیت اسکرین شیرینگ برای دسترسی به سیستم‌های هدف، هنوز اطلاعات دقیقی درباره گستره این حملات، مدت فعالیت مهاجمان و اهداف احتمالی آن‌ها منتشر نشده است.
