Falha crítica no macOS permite controle total e mineração de criptomoedas

Autoridades de cibersegurança da Holanda emitiram um alerta urgente confirmando que uma vulnerabilidade de alta gravidade no macOS está sob exploração ativa na internet. A falha permite que invasores remotos executem códigos maliciosos e assumam o controle total de computadores da Apple sem a necessidade de credenciais de autenticação prévias.

O alerta partiu diretamente do National Cyber Security Centrum (NCSC), o centro nacional de cibersegurança dos Países Baixos, após a detecção de múltiplos incidentes em sistemas conectados à rede pública. Segundo o órgão governamental, os invasores estão obtendo privilégios de root — o nível administrativo mais alto do sistema operacional — e instalando mineradores da criptomoeda Monero nas máquinas comprometidas.

“O NCSC recebeu uma notificação indicando que o abuso ativo desta vulnerabilidade foi observado em múltiplos sistemas nos quais a porta 5900 estava acessível a partir da Internet. Em todos esses casos, o usuário root foi acessado no sistema afetado e um minerador de criptomoeda Monero foi instalado.”

Detalhes técnicos da falha

Identificada formalmente sob o código CVE-2026-65400, a vulnerabilidade recebeu uma pontuação de severidade de 7.1 em 10 na escala padrão da indústria. A origem do problema está localizada no recurso nativo de compartilhamento de tela do macOS, uma ferramenta projetada para permitir que administradores ou usuários visualizem a interface gráfica e controlem remotamente o teclado e o mouse enquanto o computador estiver ligado.

A causa técnica subjacente do CVE-2026-65400 reside em uma falha crítica no mecanismo de gerenciamento de estado (state management) do sistema. Essa camada é responsável por rastrear eventos precedentes, interações do usuário, variáveis ativas e outros estados essenciais da máquina durante a inicialização e a manutenção de sessões remotas.

Devido a essa inconsistência no gerenciamento de estado, o protocolo de compartilhamento de tela falha em validar corretamente a sequência de permissões de acesso. Na prática, invasores externos conseguem enviar sequências de comandos manipuladas para contornar barreiras de autenticação convencionais, alcançando privilégios administrativos de root diretamente pela rede.

A exploração da porta 5900

Os incidentes confirmados pelo NCSC envolvem especificamente computadores com a porta 5900 exposta diretamente para a internet. Essa porta de rede é o padrão utilizado pelo protocolo de compartilhamento de tela e pelo ecossistema VNC (Virtual Network Computing), facilitando o escaneamento automatizado por parte de agentes maliciosos que varrem endereços IP públicos em busca de terminais vulneráveis.

Ao identificar um endereço com a porta 5900 aberta e sem camadas intermediárias de isolamento, os invasores disparam o exploit contra o CVE-2026-65400. Uma vez que o controle total é estabelecido em nível de root, o malware injeta processos em segundo plano dedicados à mineração da moeda Monero, consumindo os recursos de processamento da máquina sem autorização do proprietário.

A escolha pelo Monero em ataques dessa natureza está associada ao protocolo de privacidade característico dessa moeda, dificultando o rastreamento das carteiras que recebem os fundos gerados ilicitamente por meio do processamento sequestrado dos computadores Apple invadidos.

Apresentação na Black Hat

Os pormenores operacionais e a mecânica exata de exploração do CVE-2026-65400 foram demonstrados publicamente na mais recente edição da conferência de segurança Black Hat. Durante o evento técnico, pesquisadores exibiram vídeos e provas de conceito demonstrando o exploit funcionando em tempo real contra sistemas desatualizados.

A divulgação técnica na Black Hat coincidiu com o início das observações de exploração ativa em larga escala reportadas pelo NCSC holandês. A disponibilização de detalhes sobre a manipulação do gerenciamento de estado acelerou a replicação do ataque por grupos cibercriminosos contra máquinas com serviços de tela expostos.

Sistemas afetados e atualizações

Em resposta à gravidade do problema, a Apple desenvolveu e distribuiu pacotes de correção de segurança na última semana. As atualizações cobrem três versões principais do sistema operacional da marca: macOS Tahoe, macOS Sequoia e macOS Sonoma.

No documento de suporte publicado junto aos patches, a Apple utilizou uma redação cautelosa, afirmando formalmente que o CVE-2026-65400 “pode permitir que um invasor sem credenciais obtenha acesso a um Mac”. Esse tom atenuado é uma prática recorrente adotada por grandes desenvolvedoras de tecnologia ao detalhar brechas de segurança, minimizando o impacto de relações públicas enquanto orientam os usuários a aplicarem os patches.

• macOS Tahoe: atualização de segurança disponibilizada para neutralizar a falha de gerenciamento de estado.
• macOS Sequoia: correção liberada pela Apple na última semana com foco no fechamento da brecha.
• macOS Sonoma: pacote de correção emitido para impedir a execução de código remoto via compartilhamento de tela.
• Porta 5900: recomendação prioritária de bloqueio de tráfego externo direto em roteadores e firewalls.

Impacto em ambientes de TI

Para equipes de infraestrutura, administradores de sistemas e desenvolvedores que operam frotas de computadores macOS, o cenário exige auditorias imediatas. Redes corporativas e usuários domésticos avançados que habilitaram o compartilhamento de tela para suporte remoto correm riscos significativos caso o tráfego da porta 5900 não esteja protegido por redes privadas virtuais ou regras estritas de firewall.

A constatação de invasões reais pelo NCSC reforça que manter o serviço de compartilhamento de tela ativo na internet pública sem aplicar as atualizações para macOS Tahoe, macOS Sequoia ou macOS Sonoma expõe o equipamento ao comprometimento total por root e ao sequestro computacional para fins de mineração não autorizada.