Eine in jedem modernen Mac integrierte Remote-Desktop-Funktion ist zu einer offenen Tür für Hacker geworden, und niederländische Cybersicherheitsbehörden sagen, dass der Einbruch bereits stattfindet. Sicherheitsforscher und Regierungsbehörden warnen Nutzer nun vor einer aktiv ausgenutzten macOS-Screen-Sharing-Sicherheitslücke, die Angreifern ermöglicht, die Kontrolle über einen Computer zu übernehmen, ohne jemals ein Passwort zu benötigen, und anschließend unbemerkt Kryptowährungs-Mining-Software auf dem Gerät zu installieren.
Summary
Wichtigste Erkenntnisse
- Die Schwachstelle, verfolgt unter CVE-2026-65400, weist einen Schweregrad von 7,1 von 10 auf und ermöglicht es Angreifern, aus der Ferne Code ohne gültige Zugangsdaten auszuführen.
- Das Nationale Cyber Security Centrum (NCSC) der Niederlande bestätigte eine aktive Ausnutzung auf Systemen, bei denen Port 5900 aus dem Internet erreichbar war.
- Angreifer, die den Fehler ausnutzten, erlangten Root-Zugriff und installierten Monero-Krypto-Miner auf betroffenen Macs.
- Apple hat das Problem letzte Woche in macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9 behoben.
- Nutzer können das Risiko verringern, indem sie Bildschirmfreigabe deaktivieren, wenn sie nicht verwendet wird, und das neueste Sicherheitsupdate installieren.
Schwerwiegende macOS-Sicherheitslücke ermöglicht Remote-Code-Ausführung
CVE-2026-65400 ist ein Fehler, der es einem entfernten Angreifer erlaubt, bösartigen Code auf einem Mac auszuführen, ohne einen Benutzernamen oder ein Passwort zu benötigen. Apples integrierte Bildschirmfreigabe-Funktion, die das VNC-Protokoll verwendet, um einem Computer zu ermöglichen, einen anderen über ein Netzwerk anzuzeigen und zu steuern, steht im Zentrum des Problems.
Art und Ursprung der Sicherheitslücke
Die eigentliche Ursache liegt darin, wie macOS das „Zustandsmanagement“ innerhalb des Bildschirmfreigabe-Systems handhabt – die interne Buchführung, die frühere Ereignisse, Benutzerinteraktionen und Systemvariablen nachverfolgt. Ein Fehler in dieser Logik ermöglicht es einem Eindringling, ordnungsgemäße Zugangsdatenprüfungen vollständig zu umgehen. Praktisch bedeutet das, dass jemand, der sich mit dem Bildschirmfreigabe-Port eines verwundbaren Macs verbindet, nicht nachweisen muss, wer er ist, bevor er Zugriff erhält.
Schweregradbewertung und technische Details
Apple und Sicherheitsforscher bewerten die Schwachstelle mit 7,1 von 10 Punkten, eine Einstufung im Bereich „hohe Schwere“, ohne die maximale kritische Stufe zu erreichen. Details zu dem Fehler wurden erstmals auf der letztwöchigen Black-Hat-Sicherheitskonferenz öffentlich, und Apples eigene Sicherheitsmitteilung beschrieb das Problem vorsichtig, indem sie sagte, die Schwachstelle „könne“ es einem Angreifer ohne Zugangsdaten ermöglichen, auf einen Mac zuzugreifen. Solche vorsichtigen Formulierungen sind in der Tech-Branche recht typisch, wenn Unternehmen Sicherheitslücken offenlegen – selbst dann, wenn eine Ausnutzung in freier Wildbahn bereits bestätigt ist.
Aktive Ausnutzung durch das niederländische National Cyber Security Centrum bestätigt
Das NCSC gibt an, dass es bereits Meldungen erhalten hat über reale Angriffe, die diese macOS-Screen-Sharing-Sicherheitslücke ausnutzen, nicht nur ein theoretisches Risiko. In einer aktualisierten Sicherheitsmitteilung erklärte die Behörde, sie habe eine Benachrichtigung erhalten, die auf einen aktiven Missbrauch der Schwachstelle auf mehreren Systemen hinweist, bei denen Port 5900 aus dem Internet zugänglich war.
Bedingungen für die Ausnutzung
Port 5900 ist der Netzwerkkanal, den VNC-basierte Bildschirmfreigabe für die Kommunikation verwendet. Wenn ein Mac-Nutzer die Bildschirmfreigabe einschaltet, öffnet die integrierte macOS-Firewall diesen Port automatisch. Die meisten Heimrouter und dedizierten Firewalls blockieren Port 5900 standardmäßig, aber wenn ein Netzwerk so konfiguriert wurde, dass der Port durchgelassen wird – absichtlich oder unbeabsichtigt – wird das Gerät von überall im Internet erreichbar. Genau diese Exposition ist laut NCSC die Bedingung, die Angreifer ausgenutzt haben.
Beobachtete Auswirkungen auf betroffene Macs
Laut der NCSC-Mitteilung folgte jeder bestätigte Fall demselben Muster: Angreifer erlangten Root-Zugriff auf das System und platzierten anschließend einen Monero-Krypto-Miner auf dem Gerät. Monero-Mining-Malware kapert unauffällig die Rechenleistung eines Computers, um Kryptowährung für den Angreifer zu erzeugen, oft ohne offensichtliche Symptome außer einem trägen System und einem Anstieg des Stromverbrauchs. Bisher gibt es keine Hinweise darauf, dass Angreifer den Exploit genutzt haben, um etwas Schädlicheres als einen Krypto-Miner zu installieren – aber derselbe Root-Zugriff könnte theoretisch auch dazu verwendet werden, Zugangsdaten zu stehlen oder schädlichere Malware zu installieren.
Apple veröffentlicht Patch und Sicherheitsempfehlungen
Apple hat bereits einen Fix ausgeliefert, der der mit Abstand wirksamste Weg ist, diesen Angriffsweg zu schließen. Das Unternehmen veröffentlichte letzte Woche Updates, die die Mechanismen des Zustandsmanagements hinter der Bildschirmfreigabe verbessern, eine ordnungsgemäße Zugangsdatenprüfung erzwingen und die fehlerhaften Authentifizierungsversuche blockieren, die den Exploit ermöglichten.
Details zur Patch-Veröffentlichung
Der Fix wurde in macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 und macOS Sonoma 14.8.9 bereitgestellt. Jeder, der eine ältere Build-Version dieser drei macOS-Releases verwendet, bleibt der Schwachstelle ausgesetzt, bis er aktualisiert.
Bewährte Sicherheitspraktiken für Nutzer
Über die Installation des Patches hinaus empfehlen Sicherheitsexperten, die Bildschirmfreigabe ausgeschaltet zu lassen, sofern sie nicht aktiv benötigt wird, und sie nach einer Sitzung wieder zu deaktivieren. Der Schalter befindet sich in den Systemeinstellungen unter Allgemein, dann Freigaben, wo Nutzer die Option Bildschirmfreigabe ein- oder ausschalten können. Für diejenigen, die Fernzugriff benötigen, gilt es als sicherer, über ein VPN oder einen SSH-Tunnel zu verbinden, anstatt Port 5900 direkt ins Internet zu exponieren, auch wenn dieser Ansatz technische Schritte erfordert, die über das hinausgehen, was die meisten Alltagsnutzer einrichten können. Diese Lücke ist ein Teil des Grundes, warum eine adressierbare macOS-Screen-Sharing-Sicherheitslücke wie diese immer noch so viele Systeme unvorbereitet trifft: Die sicherste Umgehungslösung verlangt mehr Netzwerk-Know-how, als der durchschnittliche Mac-Besitzer zur Hand hat.
Warum dies für Mac-Nutzer weiterhin wichtig ist
Dieser Fall erinnert daran, dass Komfortfunktionen eine versteckte Angriffsfläche mit sich bringen. Bildschirmfreigabe soll die Fernwartung und den Dateizugriff erleichtern, aber wenn sie standardmäßig eingeschaltet bleibt – insbesondere in einem Netzwerk, in dem Port 5900 an der Router-Firewall vorbeirutscht – wird aus einem hilfreichen Werkzeug eine offene Einladung. Das NCSC hat weder offengelegt, wie viele Systeme betroffen sind, wann die Angriffe begonnen haben, noch ob die Ausnutzung über Kryptomining hinausgeht, sodass die Möglichkeit besteht, dass einige kompromittierte Macs mit mehr zu kämpfen haben als nur einem versteckten Miner, der im Hintergrund läuft.
FAQ
Was ist die Art der macOS-Sicherheitslücke CVE-2026-65400?
Es handelt sich um einen Fehler im Zustandsmanagement der macOS-Bildschirmfreigabe, der es entfernten Angreifern ermöglicht, ohne Zugangsdaten bösartigen Code auszuführen.
Wie nutzen Angreifer diese Sicherheitslücke aus?
Angreifer nutzen die Schwachstelle aus, wenn Port 5900 dem Internet ausgesetzt ist und die Bildschirmfreigabe aktiviert ist, erlangen Root-Zugriff und installieren Monero-Miner.
Für welche macOS-Versionen gibt es einen Patch für diese Sicherheitslücke?
Apple hat letzte Woche Patches für macOS Tahoe, Sequoia und Sonoma veröffentlicht, um die Schwachstelle zu beheben.
Welche Sicherheitsmaßnahmen können Nutzer ergreifen, um sich zu schützen?
Nutzer sollten die Bildschirmfreigabe deaktivieren, wenn sie nicht verwendet wird, Port 5900 schließen und die neuesten Sicherheitsupdates installieren.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Was ist die Art der macOS-Sicherheitslücke CVE-2026-65400?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Es handelt sich um einen Fehler im Zustandsmanagement der macOS-Bildschirmfreigabe, der es entfernten Angreifern ermöglicht, ohne Zugangsdaten bösartigen Code auszuführen.“}},{„@type“:“Question“,“name“:“Wie nutzen Angreifer diese Sicherheitslücke aus?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Angreifer nutzen die Schwachstelle aus, wenn Port 5900 dem Internet ausgesetzt ist und die Bildschirmfreigabe aktiviert ist, erlangen Root-Zugriff und installieren Monero-Miner.“}},{„@type“:“Question“,“name“:“Für welche macOS-Versionen gibt es einen Patch für diese Sicherheitslücke?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Apple hat letzte Woche Patches für macOS Tahoe, Sequoia und Sonoma veröffentlicht, um die Schwachstelle zu beheben.“}},{„@type“:“Question“,“name“:“Welche Sicherheitsmaßnahmen können Nutzer ergreifen, um sich zu schützen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Nutzer sollten die Bildschirmfreigabe deaktivieren, wenn sie nicht verwendet wird, Port 5900 schließen und die neuesten Sicherheitsupdates installieren.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
