CVE-2026-65400: macOS-Sicherheitslücke wird aktiv ausgenutzt

CVE-2026-65400 ist eine Authentifizierungsschwachstelle in macOS Screen Sharing. Apple hat sie am 6. August 2026 mit macOS Sonoma 14.8.9, macOS Sequoia 15.7.9 und macOS Tahoe 26.6.1 behoben. Die Warnung ist dringend: Das NCSC-NL meldete aktive Ausnutzung auf mehreren Systemen, deren TCP-Port 5900 aus dem Internet erreichbar war. Prüfe deshalb zuerst deine macOS-Version und installiere das passende Update.

Was CVE-2026-65400 ermöglicht

Die Sicherheitslücke kann es einem Angreifer mit Netzwerkzugriff ermöglichen, sich bei Screen Sharing ohne gültige Zugangsdaten zu authentifizieren. Das bedeutet nicht, dass jeder Mac automatisch gefährdet ist: Entscheidend sind eine verwundbare macOS-Version und die Erreichbarkeit des Screen-Sharing-Dienstes.

Apple beschreibt das Problem als Authentifizierungsfehler, der durch eine verbesserte Verwaltung des Authentifizierungsstatus behoben wurde. Die aktuelle Bewertung im NVD führt die Schwachstelle als CVSS 3.1 mit 9,8 und der Einstufung „Kritisch“. Frühere Einordnungen nannten 7,1; dieser Wert gehört zur historischen Bewertung und ist nicht die aktuelle NVD-Einstufung.

Warum TCP-Port 5900 wichtig ist

macOS Screen Sharing nutzt einen VNC/RFB-basierten Fernzugriffsdienst, der üblicherweise mit TCP-Port 5900 verbunden ist. Das NCSC-NL berichtete am 12. August 2026 über aktive Angriffe auf mehrere Systeme, bei denen dieser Port aus dem Internet erreichbar war.

Die entscheidende Grenze ist also nicht „Mac oder kein Mac“, sondern verwundbare Software plus Netzwerkreichweite. Ein Mac, auf dem Screen Sharing nicht direkt aus dem öffentlichen Internet erreichbar ist, hat einen anderen Angriffsweg als ein Gerät mit entsprechender Portweiterleitung. Für die betroffenen Versionen bleibt das Update trotzdem die zentrale Maßnahme.

Betroffene und behobene macOS-Versionen

Die im NVD aufgeführten verwundbaren Bereiche reichen bis zu den jeweils genannten Korrekturversionen. Prüfe unter „Systemeinstellungen > Allgemein > Softwareupdate“, welche macOS-Reihe und Versionsnummer auf deinem Mac installiert ist.

Die passende Zielversion hängt von deiner macOS-Reihe ab. Installiere also nicht irgendein Update, sondern die für deinen Zweig vorgesehene Version oder eine spätere Version, sofern Apple sie für dein Gerät anbietet.

Was in den gemeldeten Fällen passiert ist

In allen Fällen, die dem NCSC-NL gemeldet wurden, erlangten Angreifer Root-Zugriff auf das betroffene System und platzierten einen Monero-Kryptominer. Das ist der bestätigte beobachtete Ausgang dieser Fälle – nicht die Aussage, dass jeder Angriff auf jeden verwundbaren Mac genau so endet.

Root-Zugriff ist grundsätzlich weitreichend. Welche weiteren Folgen unter einer konkreten Systemkonfiguration möglich sind, lässt sich aus den gemeldeten Fällen allein nicht ableiten. Für die unmittelbare Entscheidung reicht die klare Konsequenz: Ein ungepatchter, aus dem Internet erreichbarer Screen-Sharing-Dienst sollte nicht weiter offen bleiben.

Was über die technische Ursache bekannt ist

Apple bestätigt eine Authentifizierungsproblematik und eine Korrektur an der Statusverwaltung. Eine detailliertere technische Analyse beschreibt zusätzlich einen möglichen Fehler in der Verarbeitung des Secure-Remote-Password-Verfahrens (SRP) und in der Zustandsprüfung des Screen-Sharing-Dienstes.

Diese tieferen Mechanismen stammen aus der Analyse von Huntress und sind nicht Apples eigene technische Beschreibung. Auch weitergehende Szenarien wie privilegierte Dateioperationen oder Remote Code Execution hängen von der jeweiligen Konfiguration ab. Sie sollten deshalb nicht als pauschale Eigenschaft jedes betroffenen Macs verstanden werden.

Was du jetzt tun solltest

1. macOS-Version prüfen: Öffne „Systemeinstellungen > Allgemein > Softwareupdate“ und ermittle, ob dein Mac Sonoma 14.8.9, Sequoia 15.7.9, Tahoe 26.6.1 oder eine spätere passende Version verwendet.
2. Apple-Update installieren: Das Update ist die primäre Lösung, weil es den verwundbaren Code korrigiert.
3. Screen Sharing vorübergehend deaktivieren: Wenn das Update nicht sofort möglich ist, findest du die Funktion unter „Systemeinstellungen > Allgemein > Freigaben“. Deaktiviere Screen Sharing als Zwischenmaßnahme.
4. TCP-Port 5900 nicht öffentlich freigeben: Entferne eine direkte Portweiterleitung aus dem Internet. Ein Passwortwechsel, eine Änderung der zugelassenen Benutzer oder das Abschalten einer älteren VNC-Authentifizierung behebt keinen Fehler, der vor der eigentlichen Anmeldung greift.

Wenn du Fernzugriff benötigst, sollte die Netzwerkarchitektur den Dienst nicht direkt dem öffentlichen Internet aussetzen. Ob eine konkrete private Zugriffslösung zu deiner Umgebung passt, hängt von deiner Konfiguration ab; sie ersetzt das Apple-Update nicht.

Die Risikobewertung hat sich verändert

Die Schwachstelle wurde zunächst mit CVSS 3.1 7,1 bewertet. Der aktuelle NVD-Eintrag führt inzwischen die CISA-ADP-Bewertung 9,8 („Kritisch“). Außerdem weist der Eintrag die Aufnahme von CVE-2026-65400 in den Katalog der bekannten ausgenutzten Schwachstellen am 18. August 2026 aus.

Für Mac-Nutzer ist der Zahlenvergleich weniger wichtig als die Reihenfolge der Maßnahmen: Version prüfen, patchen und eine direkte öffentliche Erreichbarkeit von TCP-Port 5900 vermeiden. Die gemeldete Ausnutzung macht aus einer theoretischen Authentifizierungslücke ein konkretes Update-Thema.