Uma vulnerabilidade de segurança grave no macOS está sendo explorada ativamente por cibercriminosos para assumir controle total de computadores Mac. O Centro Nacional de Segurança Cibernética dos Países Baixos (NCSC) confirmou que o ataque já afetou múltiplos sistemas com a porta 5900 exposta à internet, dando aos invasores acesso root e permitindo a instalação de mineradores de Monero.
O que é a vulnerabilidade CVE-2026-65400
A falha, identificada como CVE-2026-65400, afeta o serviço de Compartilhamento de Tela do macOS e possui gravidade 7,1 de 10. De acordo com o Ars Technica, o problema está na implementação do protocolo Secure Remote Password (SRP), que permite que um atacante se autentique sem possuir credenciais válidas. Isso significa que qualquer pessoa com acesso à porta 5900 pode conectar-se a um Mac remotamente e assumir o controle do sistema.
O pesquisador de segurança Calif confirmou que foi possível criar um exploit funcional em apenas quatro horas após a análise do patch da Apple. Segundo o especialista, dois bugs independentes foram encontrados no mesmo arquivo-fonte, ambos permitindo acesso remoto pré-autenticado com privilégios de root.
Como o ataque funciona
O Compartilhamento de Tela do macOS utiliza o daemon screensharingd, que roda com privilégios de root. Quando a porta 5900 fica exposta à internet — o que ocorre automaticamente quando o recurso é ativado —, um atacante pode explorar a falha de gerenciamento de estado para se autenticar sem senha. Com isso, o invasor obtém acesso total ao sistema, podendo ler e escrever arquivos arbitrários, instalar malware ou minerar criptomoedas.
De acordo com o Huntress, o PoC (prova de conceito) publicado por pesquisadores permite que um atacante execute código arbitrário sem precisar de credenciais. A única necessidade é conhecer o nome de usuário, informação que fica visível na tela de login do macOS.
Versões afetadas e correção
A Apple liberou atualizações de emergência em 6 de agosto de 2026 para corrigir a falha. As versões corrigidas são:
| Versão do macOS | Build corrigido | Versões vulneráveis |
|---|---|---|
| Tahoe (macOS 26) | 26.6.1 | 26.6 e anteriores |
| Sequoia (macOS 15) | 15.7.9 | 15.7.8 e anteriores |
| Sonoma (macOS 14) | 14.8.9 | 14.8.8 e anteriores |
Segundo o NCSC, todos os dispositivos Mac devem ser atualizados imediatamente. A Apple descreveu a correção como uma melhoria no gerenciamento de estado do serviço.
Como se proteger
A recomendação dos especialistas é desativar o Compartilhamento de Tela quando não estiver em uso. O recurso pode ser desligado em Ajustes do Sistema > Geral > Compartilhamento. Quando o uso for necessário, a melhor prática é conectar-se via VPN ou túnel SSH, em vez de expor a porta 5900 diretamente.
Caso não seja possível atualizar imediatamente, bloquear a porta 5900 no roteador ou firewall oferece uma camada adicional de proteção. No entanto, de acordo com o Huntress, isso não substitui a correção da Apple, pois a vulnerabilidade persiste no código do sistema.
Segundo os pesquisadores, o número de Macs com Compartilhamento de Tela exposto à internet pode ser maior do que o esperado, já que o serviço é ativado por padrão em algumas configurações. Verificar se o recurso está desativado é essencial para garantir a segurança do dispositivo.