Tin tặc đang lợi dụng lỗ hổng xác thực trong tính năng chia sẻ màn hình của macOS để chiếm quyền cao nhất trên máy Mac từ xa, dù Apple đã phát hành bản vá từ đầu tháng 8
Cơ quan An ninh mạng Quốc gia Hà Lan (NCSC-NL) cảnh báo tin tặc đang khai thác thực tế một lỗ hổng trong tính năng Screen Sharing (chia sẻ màn hình) của macOS để chiếm quyền root, mức quyền cao nhất trên hệ điều hành, sau đó cài phần mềm đào tiền ảo Monero lên máy nạn nhân. Lỗ hổng mang mã CVE-2026-65400, đã được Apple vá từ ngày 6/8.
Nguyên nhân nằm ở cách Screen Sharing xử lý bước xác thực. Do lỗi trong quản lý trạng thái đăng nhập, máy chạy phiên bản macOS chưa vá cho phép người lạ kết nối vào Screen Sharing mà không cần mật khẩu hợp lệ. Điều kiện để bị tấn công khá đơn giản: máy bật tính năng Screen Sharing và cổng 5900, cổng mặc định của dịch vụ này, bị lộ ra internet, thường do người dùng tự cấu hình chuyển tiếp cổng trên router để remote vào máy từ xa.
Giao diện System Settings mục Sharing trên macOS, nơi bật/tắt Screen Sharing
Mức độ nguy hiểm bị đánh giá thấp lúc đầu
Apple phát hành bản vá cho CVE-2026-65400 trong ba phiên bản macOS Tahoe 26.6.1, Sequoia 15.7.9 và Sonoma 14.8.9, mô tả ngắn gọn đây là lỗi được khắc phục bằng cách "cải thiện quản lý trạng thái". Người phát hiện và báo cáo lỗ hổng cho Apple là nhà nghiên cứu bảo mật Alfredo Pesoli, thuộc nhóm Bynario.
Ban đầu, lỗ hổng này chỉ được chấm điểm CVSS 7.1, mức cao nhưng chưa phải nghiêm trọng nhất. Đến ngày 14/8, cơ quan An ninh mạng Mỹ CISA nâng điểm số lên 9.8, mức tối đa của thang đánh giá, đồng thời đổi cách phân loại từ "cần một số quyền hạn nhất định" sang "không cần quyền hạn nào cũng khai thác được", và từ "khó tự động hóa" sang "có thể tự động hóa hàng loạt". Việc điều chỉnh điểm số tăng mạnh trong vòng 8 ngày cho thấy giới bảo mật ban đầu đánh giá thấp mức độ nguy hiểm thực sự của lỗ hổng.
Đã có máy Mac bị chiếm quyền trên thực tế
Ngày 12/8, NCSC-NL cập nhật cảnh báo, cho biết đã ghi nhận nhiều trường hợp máy Mac có cổng 5900 lộ ra internet bị chiếm quyền root và cài phần mềm đào Monero. Cơ quan này cũng lưu ý rằng mã khai thác thử nghiệm (proof-of-concept) cho lỗ hổng đã xuất hiện công khai trên mạng, khiến việc tấn công trở nên dễ dàng hơn với nhiều đối tượng.
Một nhà nghiên cứu bảo mật độc lập, dùng bút danh @osxreverser, cho biết đã tự quét và phát hiện khoảng 40.000 máy Mac bật Screen Sharing và lộ ra internet, trong đó gần một nửa có khả năng bị khai thác qua lỗ hổng này. Đây là số liệu do cá nhân công bố, chưa có cơ quan hay tổ chức nào khác xác nhận độc lập.
Đáng chú ý, tính đến thời điểm hiện tại, lỗ hổng này vẫn chưa xuất hiện trong danh mục các lỗ hổng đang bị khai thác chính thức (KEV) của CISA, dù NCSC Hà Lan đã xác nhận có khai thác thực tế trên nhiều hệ thống. Sự lệch pha giữa hai cơ quan an ninh mạng quốc gia cho thấy quá trình xác minh và cập nhật danh mục cảnh báo không phải lúc nào cũng đồng bộ giữa các nước.
Quyền root mà tin tặc chiếm được không chỉ giới hạn ở việc đào tiền ảo. Với mức quyền cao nhất trên hệ thống, kẻ tấn công có thể đọc, chỉnh sửa dữ liệu, cài thêm phần mềm độc hại, hoặc đánh cắp thông tin đăng nhập lưu trên máy.
Cách kiểm tra và tự bảo vệ
Người dùng Mac nên cập nhật máy lên macOS Tahoe 26.6.1, Sequoia 15.7.9 hoặc Sonoma 14.8.9 ngay nếu chưa làm. Với những máy chưa thể cập nhật ngay, cách đơn giản nhất là tắt tạm thời Screen Sharing tại System Settings > General > Sharing, sau đó gạt công tắc Screen Sharing sang trạng thái tắt.
Người dùng có thói quen remote vào Mac từ xa qua cấu hình chuyển tiếp cổng trên router nên kiểm tra lại xem cổng 5900 có đang mở ra internet hay không, và cân nhắc dùng các phương thức kết nối an toàn hơn như VPN thay vì mở cổng trực tiếp.
