Angripere logger seg inn på Mac-er uten passord gjennom skjermdeling

Apple ga 6. august 2026 ut en oppdatering utenom den vanlige syklusen for macOS, og den rettet én enkelt sårbarhet i skjermdeling. Apple beskriver virkningen slik at en angriper på nettverket kan logge seg på skjermdeling uten gyldige påloggingsopplysninger, og oppgir at feilen er rettet med bedre håndtering av tilstand. Sårbarheten har nummeret CVE-2026-65400, og den er rettet i macOS Tahoe 26.6.1, Sequoia 15.7.9 og Sonoma 14.8.9. Nederlandske NCSC oppdaterte varselet sitt 12. august med at det finnes offentlig tilgjengelig utnyttelseskode, og at aktiv utnyttelse er kjent. NCSC oppgir at misbruket er observert på flere systemer der port 5900 var tilgjengelig fra internett, at angriperne fikk root på maskinene, og at det ble lagt inn et program som utvinner kryptovalutaen Monero.

Hva som skjer teknisk

Skjermdeling lar noen koble seg til en Mac fra en annen maskin, se skjermen og styre tastatur og mus som om de satt rett foran den. Funksjonen er nyttig, og nettopp derfor står den på mange steder. En Mac mini i et skap, en maskin i et laboratorium, en kollega som skal få hjelp. Slås skjermdeling på, åpner brannmuren i macOS port 5900. Ars Technica peker på at rutere og egne brannmurer som regel stenger den porten videre ut, med mindre noen har bestemt noe annet, og det er der forskjellen mellom en trygg og en utsatt maskin ligger. Ars Technica oppgir alvorlighetsgrad 7,1 av 10.

Feilen selv er en logikkfeil, ikke en minnefeil. Sikkerhetsselskapet Calif bygde en fungerende utnyttelse ved å sammenligne Apples oppdatering med utgaven før, og beskriver feilen som at tilstandsmaskinen for pålogging kommer i utakt. En lengdekontroll avbryter tidlig på en for stor pakke, og gir tilbake en verdi som tilfeldigvis er den samme som suksesskoden fra lesingen rett før. Den som kaller, leser det som at påloggingssteget gikk bra, og går videre til neste tilstand. Det er ikke noe kappløp som må vinnes, ingen omgåelse av minnebeskyttelse og ingen krasj. Calif holder de fullstendige detaljene tilbake til flere har rukket å oppdatere.

To forhold avgjør hvor alvorlig dette blir. Det ene er at tjenesten som svarer på port 5900 kjører som root, altså kontoen som kan gjøre alt på maskinen. En angriper stopper derfor ikke ved kontoen som ble brukt til å logge inn. Det andre er at denne feilen krever et brukernavn, og et brukernavn er ingen hemmelighet, siden macOS viser dem på påloggingsskjermen. Hvor mange maskiner som står åpne, er mer usikkert. Calif gjengir en skanning gjort av forskeren @osxreverser, som fant rundt 40 000 maskiner med skjermdeling åpen mot internett, nesten halvparten i USA. Tallet stammer fra én skanning på et tidspunkt som ikke er oppgitt, og bør leses som en størrelsesorden.

Hva det betyr for deg som har Mac-er i drift

Har du Mac-er i virksomheten, er spørsmålet ditt ikke om feilen er alvorlig, men hvor mange av maskinene dine som har skjermdeling slått på. Vår erfaring er at svaret sjelden er null, og at det nesten aldri er kjent på forhånd. Funksjonen blir slått på en gang for å løse noe konkret, og så blir den stående. Den maskinen du bør lete etter først, er den som står i et skap eller i et rack og gjør én oppgave, for den ble satt opp for lenge siden av noen som kanskje ikke jobber her lenger.

Vår vurdering er at dette bør behandles som en hendelse, ikke bare som en oppdatering. Utnyttelsen er aktiv, koden er offentlig, og et vellykket angrep gir root på maskinen. Da er oppdatering et ufullstendig svar, for den lukker hullet uten å fortelle deg om noen kom inn før du lukket det. Har du hatt en Mac med port 5900 åpen mot internett, bør du lete etter det NCSC faktisk beskriver, altså en prosess som bruker uvanlig mye prosessorkraft, og kontoer eller nøkler som er lagt til uten at noen kan gjøre rede for dem. Etter NIS2 artikkel 21 er dette både sårbarhetshåndtering og hendelseshåndtering, og det er de to sammen som skal kunne dokumenteres i ettertid.

Berigo anbefaler

• Installer macOS Tahoe 26.6.1, Sequoia 15.7.9 eller Sonoma 14.8.9 på alle Mac-er, også dem som ikke står i utstyrslisten.
• Slå av skjermdeling der den ikke er i bruk, under Systeminnstillinger, Generelt og Deling.
• Undersøk om port 5900 er åpen mot internett fra ditt eget nett, og steng den i brannmuren dersom den er det.
• Trenger noen skjermdeling, legg den bak VPN eller bak en regel som bare slipper inn kjente adresser.
• Har en maskin stått åpen, undersøk den for uventet prosessorbruk og nye kontoer før du regner saken som lukket.