CVE-2026-65400 è una vulnerabilità di autenticazione nella Condivisione schermo di macOS: un aggressore con accesso alla rete può autenticarsi senza credenziali valide. Apple ha distribuito le correzioni il 6 agosto 2026 per macOS Sonoma 14.8.9, macOS Sequoia 15.7.9 e macOS Tahoe 26.6.1. Il problema è diventato un incidente concreto dopo che NCSC-NL ha segnalato lo sfruttamento di più sistemi con la porta TCP 5900 raggiungibile da Internet.
Che cos’è CVE-2026-65400
La falla è classificata come CWE-287, autenticazione impropria, e interessa il servizio integrato Condivisione schermo di macOS. Apple descrive il problema come un errore nella gestione dello stato di autenticazione: in determinate condizioni, un attaccante sulla rete può risultare autenticato senza fornire credenziali valide.
Questo non significa che ogni Mac sia automaticamente esposto. Il rischio riguarda un’installazione di macOS vulnerabile e un percorso di rete verso il servizio. Gli incidenti descritti da NCSC-NL coinvolgevano sistemi con la porta TCP 5900 accessibile direttamente da Internet.
Perché conta la porta TCP 5900
La porta TCP 5900 è comunemente associata al servizio remoto VNC/RFB usato dalla Condivisione schermo. Se un router o un firewall la rende raggiungibile dall’esterno, il servizio può essere contattato da Internet: è la condizione di esposizione più evidente nei casi segnalati.
La distinzione è importante. Un Mac usato solo all’interno di una rete privata non presenta lo stesso percorso di attacco di un sistema pubblicato direttamente su Internet, ma una versione vulnerabile va comunque aggiornata. Chi utilizza l’accesso remoto dovrebbe evitare di esporre direttamente la porta e preferire un accesso privato alla propria rete, configurato correttamente.
Versioni interessate e versioni corrette
Il record NVD indica come interessate le versioni precedenti a 14.8.9 di macOS Sonoma, precedenti a 15.7.9 di macOS Sequoia e precedenti a 26.6.1 di macOS Tahoe. La versione corretta dipende dal ramo installato sul Mac:
| Ramo di macOS | Versioni interessate | Versione corretta |
| macOS Sonoma | precedenti a 14.8.9 | 14.8.9 |
| macOS Sequoia | precedenti a 15.7.9 | 15.7.9 |
| macOS Tahoe | precedenti a 26.6.1 | 26.6.1 |
Controlla la versione in Impostazioni di Sistema > Generali > Info e installa l’aggiornamento Apple corrispondente. Il numero deve essere almeno quello indicato nella tabella per il relativo ramo di macOS.
L’impatto osservato
Il 12 agosto 2026 NCSC-NL ha riferito di abusi attivi su più sistemi con la porta 5900 accessibile da Internet. In tutti i casi comunicati all’agenzia, gli aggressori avevano ottenuto l’accesso root e installato un miner di Monero.
Questo è l’impatto osservato negli incidenti segnalati, non un risultato da attribuire automaticamente a ogni Mac vulnerabile. L’accesso root può consentire conseguenze più ampie, ma il rapporto sugli incidenti citati conferma in modo specifico l’accesso privilegiato e l’installazione del miner.
Cosa si sa del difetto di autenticazione
Apple conferma il problema di autenticazione e la correzione tramite una migliore gestione dello stato. L’analisi tecnica di Huntress ricostruisce invece un possibile percorso legato all’implementazione di Secure Remote Password (SRP) e alla validazione dello stato durante la sessione.
Questi dettagli più profondi appartengono all’analisi dei ricercatori, non alla descrizione tecnica ufficiale di Apple. Anche le ipotesi su operazioni sui file con privilegi elevati e sui percorsi verso l’esecuzione di codice remoto dipendono dalla configurazione del sistema e non vanno trasformate in una promessa di successo universale dell’exploit.
Cosa fare subito
- Aggiorna macOS alla versione corretta per il tuo ramo: Sonoma 14.8.9, Sequoia 15.7.9 oppure Tahoe 26.6.1.
- Disabilita la Condivisione schermo se non puoi installare immediatamente l’aggiornamento. In macOS, il percorso è Impostazioni di Sistema > Generali > Condivisione.
- Rimuovi l’accesso pubblico alla porta TCP 5900 dal router o dal firewall. Non lasciare il servizio direttamente raggiungibile da Internet.
- Non considerare sufficiente il cambio della password VNC o la modifica degli utenti autorizzati: secondo l’analisi tecnica disponibile, queste impostazioni non correggono una falla che si verifica prima dell’autenticazione.
L’aggiornamento resta la misura principale perché elimina il difetto nel codice. Disabilitare il servizio e bloccare l’accesso pubblico sono riduzioni del rischio da usare quando la correzione non può essere applicata subito.
La gravità è salita a 9,8
Il valore storico riportato in precedenza era CVSS 3.1 7,1. Il record NVD attuale mostra invece una valutazione CISA-ADP di 9,8, Critica, con un vettore che non richiede privilegi né interazione dell’utente e indica impatti elevati su riservatezza, integrità e disponibilità.
Il record NVD indica inoltre l’inserimento di CVE-2026-65400 nel catalogo CISA delle vulnerabilità sfruttate attivamente il 18 agosto 2026, con scadenza di intervento fissata al 21 agosto 2026 per le agenzie federali statunitensi. La differenza tra 7,1 e 9,8 riflette una rivalutazione successiva, non due vulnerabilità diverse.
La regola pratica, per chi usa un Mac in Italia come altrove, è semplice: verifica il ramo di macOS, installa la versione corretta e non pubblicare la Condivisione schermo direttamente su Internet. Qui non serve aspettare una configurazione più elegante: prima si chiude l’esposizione, poi si perfeziona l’accesso remoto.
