Cảnh báo: Lỗ hổng Screen Sharing trên macOS đang bị khai thác để cài đặt mã độc đào tiền ảo

Một lỗ hổng bảo mật nghiêm trọng trên Apple macOS, vốn đã được vá gần đây, hiện đang bị tin tặc tích cực khai thác trong thực tế nhằm triển khai các phần mềm đào tiền mã hóa trái phép. Cảnh báo này được đưa ra bởi Trung tâm An ninh mạng Quốc gia Hà Lan (NCSC-NL).

Lỗ hổng được định danh là CVE-2026-65400 (điểm CVSS: 9.8), ảnh hưởng trực tiếp đến thành phần Screen Sharing (Chia sẻ màn hình) của macOS. Lỗi này cho phép kẻ tấn công, ngay cả khi đã nằm trong mạng nội bộ, có thể xác thực vào tính năng điều khiển từ xa mà không cần thông tin đăng nhập hợp lệ.

Apple đã phát hành các bản cập nhật khẩn cấp trong macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 và macOS Sonoma 14.8.9 vào đầu tháng 8 để cải thiện cơ chế quản lý trạng thái, đảm bảo xác thực thông tin đăng nhập chính xác. Lỗ hổng này được phát hiện và báo cáo bởi chuyên gia bảo mật Alfredo Pesoli từ Bynario.

Theo NCSC-NL, các cuộc tấn công nhắm vào những hệ thống có cổng 5900 mở công khai trên internet. Trong tất cả các trường hợp được ghi nhận, kẻ tấn công đã chiếm được quyền root trên hệ thống bị ảnh hưởng và cài đặt một trình đào tiền ảo Monero.

Ngoài CVE-2026-65400, Apple cũng đã vá một loạt các lỗi khác trong thành phần Screen Sharing Server, bao gồm các vấn đề về logic cho phép chặn kết nối mạng, từ chối dịch vụ (DoS) và truy cập trái phép vào dữ liệu nhạy cảm của người dùng.

Các chuyên gia bảo mật nhấn mạnh rằng việc sử dụng các tác nhân AI hiện nay đang làm rút ngắn đáng kể khoảng cách giữa thời điểm phát hiện lỗ hổng và việc tạo ra các exploit thực tế. Chỉ trong vòng 4 giờ, một công ty bảo mật AI đã có thể xây dựng thành công mã khai thác cho các lỗ hổng này.

Khuyến nghị cho người dùng:

• Cập nhật hệ điều hành macOS lên phiên bản mới nhất ngay lập tức để nhận bản vá bảo mật.
• Nếu chưa thể cập nhật ngay, hãy tắt tính năng Screen Sharing bằng cách truy cập: General > Sharing > Toggle Screen Sharing.
• Tuyệt đối không mở các dịch vụ quản trị từ xa (như cổng 5900) ra internet công cộng trừ khi được bảo vệ qua các kênh an toàn như SSH.

Nguồn tham khảo: The Hacker News