1 hour ago
7
Theo Tomshardware, một lỗ hổng bảo mật được theo dõi với mã CVE-2026-65400 có thể ảnh hưởng đến tính năng Screen Sharing (chia sẻ màn hình) trên macOS. Vấn đề nằm ở cơ chế xác thực của dịch vụ này, cho phép kẻ tấn công từ xa vượt qua bước đăng nhập trong một số điều kiện.
Sau khi khai thác thành công, kẻ tấn công có thể giành quyền root trên máy Mac. Đây là cấp đặc quyền cao nhất của hệ điều hành, cho phép kiểm soát hệ thống và thực hiện các thay đổi mà người dùng thông thường không được phép.
Tin tặc khai thác lỗ hổng trên macOS để chiếm quyền root, sau đó cài phần mềm đào tiền số Monero trên MacBook
ẢNH: APPLE
Apple đã phát hành bản vá cho lỗ hổng vào ngày 6.8. Ban đầu, CVE-2026-65400 được đánh giá ở mức 7,1 trên thang điểm CVSS. Sau đó, Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) nâng điểm nghiêm trọng của lỗ hổng lên 9,8/10, đưa nó vào nhóm có mức rủi ro rất cao.
Điểm đáng lưu ý là Screen Sharing không được bật mặc định trên macOS. Điều này hạn chế phạm vi thiết bị có nguy cơ bị tấn công, nhưng không loại bỏ rủi ro đối với những hệ thống đang sử dụng tính năng chia sẻ màn hình và để dịch vụ có thể được truy cập từ internet.
Trung tâm An ninh mạng quốc gia Hà Lan (NCSC-NL) cho biết đã ghi nhận các trường hợp CVE-2026-65400 bị khai thác thực tế. Những máy Mac bị tấn công đều để cổng 5900, thường được sử dụng cho kết nối VNC và Screen Sharing, tiếp xúc trực tiếp với internet.
Sau khi xâm nhập, tin tặc sẽ tấn công chiếm quyền root rồi cài phần mềm đào tiền số Monero. Hoạt động này biến tài nguyên xử lý của máy Mac thành công cụ khai thác tiền số cho kẻ đứng sau chiến dịch.
Việc cài trình đào Monero cũng cho thấy mục tiêu được quan sát trong các vụ tấn công hiện tại chủ yếu là tận dụng tài nguyên máy tính. Tuy nhiên, quyền root mà lỗ hổng mang lại đồng nghĩa kẻ tấn công có khả năng kiểm soát sâu hệ thống sau khi xâm nhập thành công.
Người dùng Mac đang sử dụng Screen Sharing cần cài các bản cập nhật bảo mật mới nhất của Apple. Với những hệ thống không cần chia sẻ màn hình từ xa, việc không để dịch vụ và cổng 5900 truy cập trực tiếp từ internet giúp giảm nguy cơ trở thành mục tiêu của hình thức khai thác đang được ghi nhận.
