Trusted Design

解説:

CVE-2026-65400は、macOSの画面共有（Screen Sharing）機能における認証バイパスの脆弱性です。

1. 脆弱性の概要

CVE-2026-65400は、macOSの画面共有サービス（screensharingdデーモンによって実装され、TCPポート5900を使用）に存在する認証の脆弱性です。これは、認証プロセスの状態管理の不備に起因し、攻撃者が有効な資格情報なしに画面共有に認証することを可能にします。この脆弱性は、認証前（pre-authentication）の段階で発生するため、有効なmacOSアカウント、許可された画面共有ユーザー、またはレガシーVNCパスワードは必要ありません。

1.1 影響

この脆弱性が悪用されると、攻撃者は認証なしで画面共有にアクセスし、システムに対する不正なリモートアクセスが可能になります。これにより、データの露出や改変、マルウェアのインストール（Moneroクリプトマイニングマルウェアのインストールが確認されています）、および影響を受けるシステムの完全な侵害（rootレベルのアクセス）につながる可能性があります。また、公に公開された技術分析では、認証されていないファイルアクセスやリモートコード実行 (RCE) への経路が示されています。

1.2 深刻度

この脆弱性の深刻度は「クリティカル」と評価されており、CVSSスコアは9.8（Critical）です。米国サイバーセキュリティ・インフラセキュリティ庁（CISA）のKnown Exploited Vulnerabilitiesカタログにも追加されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のmacOSバージョンが影響を受けます。

• macOS Tahoe 26.6.0 およびそれ以前のバージョン
• macOS Sequoia 15.7.8 およびそれ以前のバージョン
• macOS Sonoma 14.8.8 およびそれ以前のバージョン

macOS Ventura以前のバージョンには修正がリリースされておらず、サポートされているバージョンにアップグレードするか、画面共有を無効にして隔離する必要があります。

2.2 影響を受ける設定

• 画面共有が有効になっているMac。
• TCPポート5900がインターネットに公開されているMac。
• リモート管理やその他のリモートアクセスサービスが不必要に有効になっているMac。

3. 影響を受けた時の兆候

以下の兆候は、システムが侵害されている可能性を示します。

• 継続的な非常に高いCPU使用率（例: Activity Monitorやtopコマンドで、sysmondなどの正規に見えるAppleプロセスが数百パーセントのCPUを使用している場合）。
• 暗号通貨マイニングプールへのアウトバウンドネットワーク接続（例: ホスト名にc3poolが含まれる場合）。
• /private/var/root/.config/にある隠しバイナリやログなど、予期しないファイル。
• /Library/LaunchDaemons/にある予期しない起動項目（例: com.xmr.miner.plistやcom.navi.*.plistという名前のファイル）。
• 異常なファイアウォールルール（例: ポート5900を127.0.0.1（ループバック）以外からのアクセスをブロックするpfルール）。

4. 推奨対策

4.1 本対策

直ちにmacOSを以下のパッチ適用済みバージョンにアップデートしてください。

• macOS Tahoe 26.6.1 以降
• macOS Sequoia 15.7.9 以降
• macOS Sonoma 14.8.9 以降
• macOS Golden Gate 27 (Appleが公開した修正情報に記載)
• macOS Tahoe 26.7 (Appleが公開した修正情報に記載)

アップデート完了後、インストールされたmacOSバージョンを確認し、自動アップデートが正常に適用されたと仮定しないようにしてください。

4.2 暫定回避策（緩和策）

即座にパッチ適用が困難な場合にのみ実施してください。

• 「システム設定」>「一般」>「共有」に移動し、「画面共有」をオフにします。
• リモート管理やその他のリモートアクセスサービスが不必要に有効になっていないかを確認し、無効にします。
• ファイアウォール（ソフトウェアまたはハードウェア）がTCPポート5900へのインバウンドアクセスをブロックしていることを確認します。
• セキュリティ専門家は、画面共有が必要な場合でもポート5900を閉じたままにし、代わりにVPNまたはSSHトンネルを介して接続することを推奨しています。

参照したサイト

• What You Need to Know About the macOS Screen Sharing Vulnerability - MacStadium
• Security Advisory: Critical macOS Screen Sharing Vulnerability (CVE-2026-65400)
• Apple macOS Screen Sharing Authentication Bypass Vulnerability (CVE-2026-65400)
• CVE-2026-65400: macOS Screen Sharing Authentication Bypass Under Active Exploitation
• CVE-2026-65400 - CVE Record
• Latest macOS Update Patches Pre-Auth Remote Code Execution Screen Sharing Vulnerability - Huntress
• Apple and a Hacker's Future - Stratechery by Ben Thompson
• An authentication issue was addressed with improved state... · CVE-2026-65400 - GitHub
• Vulnerability giving attackers full control of Macs is under active exploitation - Reddit