Uma falha crítica no macOS permite que um atacante assuma o controle total de um Mac pela rede, sem saber nenhuma senha — e ela já está sendo explorada ativamente. A vulnerabilidade recebeu o identificador CVE-2026-65400 e afeta o serviço de Compartilhamento de Tela do sistema.
Segundo reportagem do Ars Technica, o Centro Nacional de Segurança Cibernética da Holanda confirmou ter recebido notificações de abuso ativo em múltiplos sistemas com a porta 5900 acessível pela internet — todos com acesso root obtido e um minerador de criptomoeda instalado.
O que a falha permite
O problema está na implementação do protocolo Secure Remote Password dentro do daemon de compartilhamento de tela. Um erro de gerenciamento de estado faz o validador retornar um status de sucesso obsoleto, e a conexão passa a ser tratada como autenticada — sem qualquer proteção criptográfica.
Na prática, o atacante consegue:
- Acesso antes da autenticação, sem precisar de credenciais
- Privilégios de root no sistema
- Leitura e escrita de arquivos arbitrários
- Abrir aplicativos remotamente e alterar configurações de segurança
- Ver a tela e controlar teclado e mouse
A gravidade foi classificada em 7.1 de 10. A descrição oficial da Apple é mais contida: “um atacante na rede pode conseguir se autenticar no Screen Sharing sem credenciais válidas”.
Por que os cuidados de sempre não funcionam
Este é o ponto que administradores de TI precisam entender. Como o bug ocorre antes da etapa de autenticação, as medidas habituais de endurecimento simplesmente não têm efeito:
- Remover contas autorizadas — não adianta
- Desativar a autenticação VNC legada — não adianta
- Trocar a senha do VNC — não adianta
A única proteção real é aplicar o patch ou desligar o serviço.
Sua empresa tem política de atualização?
Licenças, antivírus e soluções de segurança para o parque de TI da sua empresa, com nota fiscal eletrônica e faturamento em até 90 dias para CNPJ. Fale com um especialista da GOIG.
Versões afetadas e como corrigir
Sistemas vulneráveis: macOS Tahoe (26), Sequoia (15) e Sonoma (14), em todas as builds anteriores às corrigidas — incluindo 26.6, 15.7.8 e 14.8.8.
Versões que corrigem, liberadas em 6 de agosto de 2026 sem beta prévio:
- macOS Tahoe 26.6.1
- macOS Sequoia 15.7.9
- macOS Sonoma 14.8.9
Se por algum motivo não for possível atualizar imediatamente, as mitigações são: desativar o Compartilhamento de Tela em Ajustes do Sistema → Geral → Compartilhamento, e nunca expor a porta 5900 à internet. Para acesso remoto legítimo, use VPN ou túnel SSH.
Quem está mais exposto
O Compartilhamento de Tela não vem ativado por padrão no macOS, o que limita bastante o alcance. O problema está em outro lugar: provedores de Mac hospedado — aqueles serviços de Mac mini sob demanda usados por equipes de desenvolvimento — frequentemente entregam instâncias com SSH e Compartilhamento de Tela já habilitados.
Uma busca no Censys revela dezenas de milhares de hosts potencialmente vulneráveis. E há um complicador: alguns provedores ainda não incorporaram as atualizações às imagens de provisionamento, o que faz máquinas novas nascerem vulneráveis.
O risco vai além da mineração
Até agora o padrão observado é oportunista, não direcionado: varredura em busca de hosts expostos e instalação de mineradores de Monero. Não há atribuição a nenhum grupo específico, e o NCSC holandês não divulgou quando os ataques começaram nem quantos sistemas foram afetados.
Mas mineração é o uso menos danoso possível de um acesso root. Como o Ars Technica alerta, existe risco significativo de os atacantes migrarem para malware de roubo de credenciais — cenário em que o prejuízo deixa de ser conta de luz e passa a ser vazamento de dados.
Como detectar se você foi atingido
Para equipes com monitoramento de endpoint, os indicadores são específicos: eventos do tipo ES_EVENT_TYPE_NOTIFY_SCREENSHARING_ATTACH com session_username: root e authentication_type: SRP — em vez do esperado RSA-SRP. Sinais de uso anormal de CPU também merecem investigação, dado o perfil de mineração observado.
Uma lição que vale além do macOS
O caso do CVE-2026-65400 é um bom lembrete de um princípio básico de segurança que muitas empresas ainda tratam com displicência: serviço de acesso remoto não deve ficar exposto diretamente à internet, nunca, independentemente de senha forte.
Todos os hosts comprometidos tinham algo em comum — a porta 5900 aberta para o mundo. Senha forte não protegeria nenhum deles, porque a falha estava antes da autenticação. A única barreira que funcionaria seria a porta não estar acessível.
O mesmo raciocínio vale para RDP no Windows, SSH com senha, painéis de administração de roteadores e interfaces de gerenciamento de storage. A regra prática:
- Acesso remoto sempre atrás de VPN ou túnel autenticado
- Nenhuma porta de administração exposta na internet pública
- Inventário periódico do que está realmente aberto no seu perímetro
- Atualização de segurança aplicada em dias, não em meses
O detalhe que pega quem terceiriza
O ponto mais desconfortável da história é que boa parte das máquinas afetadas não foi configurada errado pelo cliente — veio assim do provedor, com serviços já habilitados e imagem de provisionamento desatualizada.
Se a sua empresa usa infraestrutura hospedada de terceiros, vale incluir no contrato e na rotina de auditoria a verificação de quais serviços vêm ativos por padrão e com que frequência as imagens base são atualizadas. Herdar a configuração de outra pessoa é herdar o risco dela também.
Perguntas frequentes
Quais versões do macOS estão vulneráveis?
macOS Tahoe (26), Sequoia (15) e Sonoma (14), em todas as builds anteriores a 26.6.1, 15.7.9 e 14.8.9, respectivamente.
Como corrigir a falha CVE-2026-65400?
Atualize para macOS 26.6.1, 15.7.9 ou 14.8.9, liberadas em 6 de agosto de 2026. Se não for possível, desative o Compartilhamento de Tela e bloqueie a porta 5900.
Meu Mac está em risco se eu nunca usei Compartilhamento de Tela?
O risco é baixo, porque o serviço não vem ativado por padrão. O perigo se concentra em máquinas com o recurso ligado e a porta 5900 exposta à internet, situação comum em Macs hospedados por provedores.
Trocar a senha resolve?
Não. A falha ocorre antes da etapa de autenticação, então trocar senha, remover contas ou desativar o VNC legado não têm efeito algum.
O que os atacantes estão fazendo com o acesso?
Nos casos observados, instalando mineradores de criptomoeda Monero. Não há atribuição a grupos específicos, mas especialistas alertam para o risco de migração para roubo de credenciais.
Proteja o parque de TI da sua empresa
Antivírus corporativo, licenças e infraestrutura com garantia e nota fiscal eletrônica. Orçamento rápido e especializado para CNPJ — cupom BEMVINDOGOIG dá 5% off na primeira compra.