macOS「画面共有」の脆弱性を悪用、Moneroマイナー設置を確認　Appleが更新を提供

オランダ国家サイバーセキュリティセンター（NCSC-NL）は、macOSの「画面共有」に存在する認証バイパスの脆弱性が実際に悪用されていると明らかにした。インターネットからTCPポート5900へ接続できる複数のシステムで被害が確認され、いずれの事例でもrootアクセスを許し、暗号資産Monero（モネロ）のマイナーが設置されていたという。

脆弱性はCVE-2026-65400として管理されている。画面共有を利用している場合は、macOS Tahoe 26.6.1、macOS Sequoia 15.7.9、macOS Sonoma 14.8.9のいずれかへ更新する必要がある。直ちに更新できない場合は、画面共有を無効にすることが有効な回避策となる。

■脆弱性の仕組みとパスワード対策では防げない理由

CVE-2026-65400は、macOSの内蔵リモートデスクトップ機能を担うシステムデーモン「screensharingd」の認証処理に存在する。Appleは、ネットワーク上の攻撃者が有効な認証情報を持たないまま画面共有へ認証できる可能性があると説明し、状態管理の改善によって問題を修正した。

画面共有はVNCで使われるRFB（Remote Framebuffer）プロトコルを利用し、通常はTCPポート5900で接続を受け付ける。Appleの認証経路では、パスワードそのものをネットワークへ送らずに知識を証明するSRP（Secure Remote Password）を使用する。

セキュリティ企業HuntressのRyan Dowd氏による技術分析では、screensharingdが受信フレームの長さを検証する処理に問題があり、以前の処理結果を示す成功ステータスが誤って残る場合があった。デーモンはそれを正常な認証処理の完了と解釈し、実際には認証情報が検証されていない接続を受け入れるという。

Huntressによると、正規の画面共有セッションではEndpoint Securityのイベントに「authentication_type: RSA-SRP」と記録される一方、脆弱性を悪用したセッションでは「authentication_type: SRP」と記録される。また、悪用時のセッションにはRSA-SRPによる暗号保護が適用されない。

この問題は認証が完了する前の段階で発生するため、VNCパスワードの変更、従来型VNCパスワード認証の無効化、画面共有を許可するユーザーの削除だけでは防げない。攻撃者から対象のMacへのネットワーク接続自体を遮断すること、修正版を適用すること、または画面共有を無効にすることが必要となる。

画面共有のファイル操作に使われる特権ヘルパー「SSFileCopySender」には、保護対象のファイルへアクセスできるApple署名済みの権限が与えられている。Huntressは、認証バイパスとこの仕組みの組み合わせにより、認証前の段階からリモートコード実行につながるとしている。

■修正版の公開後、数日で実際の悪用を確認

Appleは2026年7月27日、macOS Tahoe 26.6、Sequoia 15.7.8、Sonoma 14.8.8を公開し、別の画面共有の脆弱性であるCVE-2026-43760を修正した。

CVE-2026-43760は、攻撃者が有効なVNCパスワードをすでに持っていることを前提とする認証後の脆弱性だった。一方、今回のCVE-2026-65400では有効な認証情報が必要なく、画面共有へ到達できるネットワーク上の攻撃者が認証を回避できる。

7月29日には、セキュリティ研究者のPedro Vilaça氏が事前認証段階の問題に関する分析と、難読化した概念実証バイナリを公開した。その後、別の研究者がバイナリを解析し、認証バイパスの仕組みやファイル操作、コード実行につながる経路を調べた。初期の概念実証で示されたcronを使う永続化手法については、システム整合性保護（SIP）が無効であることが必要とされている。

Appleは8月6日、CVE-2026-65400を修正したmacOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9を公開した。Appleのセキュリティ情報では、Bynario Atlasを通じて問題を報告したAlfredo Pesoli氏が発見者として記載されている。

セキュリティ企業Califは修正版を解析し、8月8日に概念実証とデモ動画を公開した。その内容は、画面共有が有効な未修正のMacに対し、ネットワーク上の攻撃者がパスワードを知らなくてもアカウントへ接続できることを示すものだった。

NCSC-NLは8月12日に勧告を更新し、インターネットからポート5900へ接続できる複数のシステムで脆弱性の悪用が確認されたと発表した。公開された概念実証から、政府機関による実際の悪用確認までの期間は約4日だった。ただし、攻撃が始まった時期、影響を受けたシステムの総数、暗号資産マイニング以外の攻撃が行われたかどうかは明らかになっていない。

■攻撃者がMoneroをマイニングする理由

Monero（XMR）のプルーフ・オブ・ワークアルゴリズム「RandomX」は、専用のASICだけが有利にならないよう、汎用CPUでの実行を重視して設計されている。このため、攻撃者は侵害したコンピューターのCPUを不正に利用してマイニングできる。

不正マイニングでは、攻撃者が機器の購入費、電気料金、冷却費などを負担せず、被害者の計算資源を利用する。1台当たりの収益が小さくても、多数の端末を侵害できれば攻撃者に利益が生じる可能性がある。

Moneroには、リング署名、ステルスアドレス、RingCTなど、取引の送信者、受信者、金額を第三者から把握しにくくするプライバシー技術も組み込まれている。こうした性質から、不正マイニングで得た暗号資産の移動を追跡しにくい点も、攻撃者に選ばれる要因となる。

■影響を受けやすい環境と推奨される対処法

最も危険なのは、画面共有が有効で、TCPポート5900がインターネットへ直接公開されている未修正のMacだ。ヘッドレスサーバーとして運用されるMac mini、ホスティング事業者が提供するMac、iOSやmacOS向けのCI/CDビルド環境などが該当し得る。

インターネットへ直接公開していない場合でも、社内LAN、大学や共同作業スペースのネットワーク、クラウドの仮想ネットワークなどに攻撃者が侵入していれば、内部のMacが狙われる可能性がある。Appleの説明する「ネットワーク上の攻撃者」は、インターネット上の攻撃者だけを意味するものではない。

画面共有はmacOSで初期状態から有効になっている機能ではない。画面共有を有効にした覚えがない場合でも、「システム設定」から現在の状態を確認するとよい。

確認するには「システム設定」>「一般」>「共有」を開き、「画面共有」がオンになっているかを調べる。有効になっている場合の最優先の対策は、「システム設定」>「一般」>「ソフトウェアアップデート」から、利用しているmacOS系列に対応する修正版を適用することだ。

修正版は次の通りである。

macOS Tahoe 26.6.1
macOS Sequoia 15.7.9
macOS Sonoma 14.8.9

直ちに更新できない場合は、「システム設定」>「一般」>「共有」で画面共有をオフにする。これにより、画面共有を経由する攻撃対象面を取り除ける。

ネットワーク管理者は、ルーターやファイアウォールの設定を確認し、TCPポート5900をインターネットへ直接公開しないようにする必要がある。業務上、外部から画面共有を使う必要がある場合は、対象ネットワークへの接続をVPNなどで制限することが望ましい。ただし、ネットワーク制限だけを修正版の適用に代わる恒久対策とはせず、可能になり次第アップデートすべきである。

クラウドやホスティング環境でMacを利用するIT・DevOps担当者は、新規インスタンスのOSイメージが修正版を含んでいるかを確認する必要がある。古いイメージから作成された場合は、画面共有などのネットワークサービスを有効にする前に手動で更新する。

■セキュリティ担当者向けの検知ポイント

AppleのEndpoint Security（ES）フレームワークを利用している環境では、「ES_EVENT_TYPE_NOTIFY_SCREENSHARING_ATTACH」イベントを収集し、画面共有セッションの認証方式を監視できる。

Huntressによると、正規のセッションでは「authentication_type: RSA-SRP」と記録される。本脆弱性を悪用したセッションで「authentication_type: SRP」が記録された場合は調査が必要だ。

「session_username: root」と記録された画面共有セッションも強い警戒材料になる。ただし、単一のログ項目だけで侵害を断定せず、接続元、実行されたプロセス、ファイル操作、ネットワーク通信などと併せて確認する必要がある。

ファイルシステムやプロセスの監視では、想定していないSSFileCopySenderの実行、LaunchDaemonの新規作成、ユーザーの「.zshenv」の変更、継続的な高CPU使用率、不審なマイニングプールへの外向き通信などを調査対象とする。

侵害が疑われる場合は、端末をネットワークから隔離し、利用可能なログやメモリ、実行中プロセスなどの証拠を保全したうえで、組織のセキュリティ担当者またはインシデント対応事業者へ連絡する。

■相次いで見つかった2件の画面共有の脆弱性

CVE-2026-65400は、2026年7月に修正されたCVE-2026-43760とは別の脆弱性である。両者は同じ画面共有サービスに関係するため混同されやすいが、認証情報が必要かどうかという重要な違いがある。

CVE-2026-43760は、レガシーVNC認証が設定され、攻撃者が有効なVNCパスワードを持っていることを前提とする認証後の問題だった。CVE-2026-65400は認証前の処理を回避するため、有効なパスワードを必要としない。

短期間に同じサービスから異なる脆弱性が見つかったことから、画面共有を管理する組織は、修正版の適用状況だけでなく、サービスを有効にする必要性やネットワーク上の公開範囲も改めて確認すべきである。

■注目ポイントQ&A

●VNCパスワードの変更や画面共有ユーザーの削除で保護できますか？

いいえ、それだけでは保護できません。CVE-2026-65400は認証前の処理に存在するため、VNCパスワードの変更、レガシーVNCパスワード認証の無効化、許可ユーザーの削除より前の段階で認証が回避されます。修正版を適用するか、適用できるまで画面共有を無効にしてください。

●攻撃者はなぜBitcoinではなくMoneroをマイニングするのですか？

MoneroのRandomXが汎用CPUでの実行を重視して設計されていることに加え、リング署名、ステルスアドレス、RingCTなどによって取引情報を第三者から把握しにくくする仕組みを備えているためです。

●Macがすでに侵害されているか確認する方法はありますか？

「アクティビティモニタ」で、Macを使用していないときにもCPUを継続的に大量消費している見慣れないプロセスがないか確認してください。「システム設定」のログイン項目や「/Library/LaunchDaemons」に不審な追加がないかも調べます。

Endpoint Securityを利用している環境では、「authentication_type: SRP」と記録された画面共有イベントや、rootユーザーに関連付けられたセッションを確認します。ただし、高いCPU使用率だけでマイナーへの感染を断定することはできません。侵害が疑われる場合はMacをネットワークから隔離し、ログを削除せずにセキュリティ担当者へ連絡してください。

●自宅のプライベートネットワークにあるMacも攻撃対象になりますか？

外部からの直接攻撃には、画面共有が有効で、インターネット側から対象のMacへ接続できる状態であることが必要です。一般的な家庭用ルーターの内側にあり、TCPポート5900を転送しておらず、画面共有も無効であれば、この経路による直接のリスクは低くなります。

ただし、同じ家庭内ネットワークの別の端末がすでに侵害されている場合や、共有ネットワークへ接続している場合は、ネットワーク内部から到達される可能性があります。画面共有を使用していない場合は無効にし、使用している場合は修正版を適用してください。

元記事: macOS Screen Sharing Flaw Actively Exploited to Mine Monero: Patch Now