Faille macOS Screen Sharing : exploit actif pour miner du Monero

La faille CVE-2026-65400, notée 9,8/10, permet à un attaquant réseau d’obtenir un accès root sans authentification sur les Mac exposant Screen Sharing à Internet. Le NCSC néerlandais confirme son exploitation active pour installer un mineur de Monero (XMR) sur chaque machine compromise.

Anatomie de CVE-2026-65400 : un bypass pré-authentification dans screensharingd

Le bug réside dans screensharingd, le daemon système qui pilote Screen Sharing — une fonction de bureau distant présente dans chaque installation de macOS. Le service repose sur le protocole VNC (Virtual Network Computing) sur le port TCP 5900 et supporte deux mécanismes d’authentification : une méthode native Apple basée sur le protocole SRP (Secure Remote Password) et un mode hérité par mot de passe VNC.

Le SRP est un échange de clés authentifié par mot de passe, conçu pour que ni le mot de passe ni aucun dérivé ne transitent jamais sur le réseau. Le client prouve sa connaissance du secret sans le transmettre — un intercepteur complet du handshake n’obtient rien d’utile pour cracker l’identifiant. Les chercheurs de Huntress ont localisé le bug dans le validateur de longueur de trame du daemon, qui retourne par erreur un statut périmé de succès pendant le handshake SRP. Le processus screensharingd interprète ce statut obsolète comme un échange d’identifiants valide et accorde à la connexion entrante un accès complet — sans qu’aucune vérification d’identifiant n’ait réellement eu lieu. La session authentifiée hérite en outre d’une protection RSA-SRP absente, tournant dans un état affaibli contrôlé par l’attaquant.

« Il suffit d’envoyer un ou deux paquets dans le bon ordre pour que le Mac cible accorde l’accès. Ça marche du premier coup et à chaque tentative. »

Pedro Vilaça (@osxreverser), chercheur en sécurité

Conséquence critique : il s’agit d’une vulnérabilité pré-authentification. Le bypass se produit avant que le daemon ne consulte les mots de passe VNC, les comptes approuvés ou tout autre contrôle en aval. Rotation du mot de passe, désactivation de l’accès VNC legacy, suppression des utilisateurs approuvés : aucune de ces mesures ne protège contre CVE-2026-65400. Les seules mitigations efficaces consistent à patcher la machine ou à désactiver Screen Sharing entièrement. Les chercheurs ont aussi identifié un amplificateur structurel : le processus auxiliaire SSFileCopySender, chargé des transferts de fichiers dans les sessions Screen Sharing, porte une entitlement signée kTCCServiceSystemPolicyAllFiles qui contourne intégralement les protections TCC (Transparency, Consent and Control) de macOS. Un attaquant non authentifié qui franchit le bypass SRP hérite de cette permission et peut lire et écrire n’importe quel fichier — clés SSH, cookies, certificats de signature de code — sans aucune invite utilisateur.

Chronologie : du correctif d’urgence à l’exploitation active en huit jours

La séquence d’événements illustre l’accélération du passage entre divulgation et exploitation dans la nature. Le 27 juillet 2026, Apple publie macOS Tahoe 26.6, Sequoia 15.7.8 et Sonoma 14.8.8 pour corriger CVE-2026-43760, une autre faille Screen Sharing découverte par Alfredo Pesoli de Bynario. Le 29 juillet, Pedro Vilaça publie un billet intitulé « It’s a pre-auth, stupid! » confirmant qu’un bug pré-auth avait été partiellement affecté par la mise à jour, accompagné d’un binaire de preuve de concept obfusqué.

Entre le 1er et le 2 août, le chercheur bl4sty rétro-conçoit le binaire, récupère le format de trame, retrace le bypass jusqu’à la logique SRP et construit un PoC démontrant lecture/écriture de fichiers et exécution de code à distance. Le 6 août, Apple livre le correctif d’urgence ciblant CVE-2026-65400 (macOS Tahoe 26.6.1, Sequoia 15.7.9, Sonoma 14.8.9). Le même jour, la société singapourienne Calif.io entame la rétro-ingénierie du patch et produit un exploit fonctionnel en environ 4 heures grâce à un agent IA de codage. Le 8 août, elle publie le PoC et une vidéo de démonstration sur X. Le 12 août, le NCSC met à jour son avis pour confirmer l’exploitation active dans la nature — quatre jours seulement après la publication du code public.

Pourquoi Monero : économie du minage CPU et traçabilité

Le choix de Monero (XMR) comme charge utile reflète une logique à la fois technique et économique. L’algorithme de consensus de Monero, RandomX, a été conçu pour résister aux ASIC et favoriser les CPU généralistes. RandomX exécute des programmes aléatoires dans une machine virtuelle qui sollicite les mêmes caractéristiques que les processeurs Apple Silicon M-series gèrent remarquablement bien : taille de cache L3, prédiction de branchement, exécution désordonnée, calcul flottant. Un Mac mini M2 Pro ou M3 Max peut miner Monero à des taux compétitifs avec des processeurs Ryzen haut de gamme, sans investissement matériel spécialisé.

Aux tarifs résidentiels d’électricité, un Mac compromis produit 3 à 15 dollars par mois selon la génération du chip et les coûts énergétiques locaux. L’économie ne fonctionne qu’à grande échelle : un attaquant contrôlant des dizaines de milliers de Mac compromis — serveurs Mac mini CI/CD, instances macOS cloud, postes développeurs laissés allumés — génère un revenu agrégé significatif pendant que la facture d’électricité reste à la charge de la victime. Le second facteur est la traçabilité. Les transactions Bitcoin sont enregistrées sur une blockchain publique ; chaque adresse et chaque montant restent visibles. Monero utilise les signatures de ring pour mélanger une transaction avec des leurres, les stealth addresses pour cacher les destinataires et RingCT pour masquer les montants. Cette architecture « privé par défaut » est précisément la raison pour laquelle XMR reste la cryptomonnaie de choix des campagnes de cryptojacking depuis des années.

Surfaces d’attaque et indicateurs de compromission

Toute machine dont Screen Sharing est activé et dont le port 5900 est accessible depuis un réseau non fiable est à risque immédiat. Screen Sharing est désactivé par défaut, mais reste couramment activé sur les Mac mini utilisés en serveurs headless, sur les instances macOS cloud provisionnées avec une image par défaut incluant Screen Sharing, et dans les fermes de build CI/CD iOS/macOS. Huntress a signalé qu’au début août 2026, certains fournisseurs Mac cloud n’avaient pas encore intégré le correctif d’urgence d’Apple dans leurs images de provisionnement.

Pour les équipes sécurité, l’indicateur publié par Huntress concerne le type d’authentification dans les logs Endpoint Security. Les connexions légitimes apparaissent avec authentication_type: RSA-SRP. Les sessions issues de l’exploitation de CVE-2026-65400 utilisent un type dégradé apparaissant comme authentication_type: SRP — un marqueur qui, par construction, désigne une session anormale. Les administrateurs doivent aussi surveiller les nouveaux LaunchDaemons inattendus dans /Library/LaunchDaemons, les processus inconnus consommant du CPU en continu, et les connexions sortantes anormales. Pour les systèmes qui ne peuvent être patchés immédiatement, l’unique mitigation efficace consiste à désactiver Screen Sharing ; un blocage du port 5900 au pare-feu ou un tunnel VPN suivi d’une connexion Screen Sharing interne offre une architecture nettement plus sûre qu’une exposition directe.

Perspectives : la compression du délai entre divulgation et exploitation

L’exploitation confirmée de CVE-2026-65400 pour le minage de Monero reste pour l’instant opportuniste. Les attaques observées ciblent des systèmes avec port 5900 exposé, signe de scans automatisés plutôt que de campagnes ciblées. La charge utile — extraction de cryptomonnaies — génère du revenu à grande échelle mais n’exige pas de ciblage de précision. Toutefois, l’accès root obtenu ouvre aux opérateurs de nombreuses options : vol d’identifiants, mouvement latéral, exfiltration de données, ou revente d’accès à d’autres acteurs de la menace.

L’incident illustre aussi une tendance de fond : la compression du délai entre divulgation et exploitation. Quand une firme produit un exploit fonctionnel en 4 heures à l’aide d’un agent IA, les fenêtres de patching traditionnelles — souvent mesurées en jours ou en semaines — s’effondrent à quelques heures. Les organisations qui traitent encore les correctifs d’urgence comme des opérations de maintenance mensuelle opèrent avec un modèle de risque étalonné pour un paysage de menace qui n’existe plus. CVE-2026-65400 agit comme un avertissement concret : la prochaine campagne utilisant la même technique pourrait viser des objectifs nettement plus lucratifs qu’un modeste revenu de minage CPU, et les défenseurs de Mac en entreprise n’ont plus le luxe du temps.

Sources

• The Hacker News — « Apple macOS Screen Sharing Flaw Exploited on Internet-Exposed Macs to Install Monero Miner »
• Bleeping Computer — « Hackers exploit macOS Screen Sharing flaw to deploy Monero miner »
• Security Affairs — « macOS Screen Sharing Flaw Exploited to Deploy Monero Miners »
• SC Media — « macOS screen sharing vulnerability actively exploited for crypto mining »
• NCSC-NL — Avis NCSC-2026-0280
• Huntress — analyse technique de CVE-2026-65400
• Calif.io — « No Country for Old Passwords » (rétro-ingénierie de l’exploit)
• Apple — Security Advisory pour CVE-2026-65400

Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.