Um recurso de desktop remoto integrado a todo Mac moderno se tornou uma porta aberta para hackers, e autoridades holandesas de cibersegurança dizem que a invasão já está acontecendo. Pesquisadores de segurança e agências governamentais agora estão alertando os usuários sobre uma vulnerabilidade de compartilhamento de tela do macOS ativamente explorada que permite que invasores assumam o controle de um computador sem nunca precisar de uma senha e, em seguida, instalem silenciosamente software de mineração de criptomoedas na máquina.
Summary
Principais pontos
- A falha, rastreada como CVE-2026-65400, possui uma classificação de gravidade de 7,1 de 10 e permite que invasores executem código remotamente sem credenciais válidas.
- O National Cyber Security Centrum (NCSC) dos Países Baixos confirmou exploração ativa em sistemas onde a porta 5900 era acessível a partir da internet.
- Invasores que exploraram o bug obtiveram acesso root e instalaram mineradores de criptomoeda Monero em Macs afetados.
- A Apple corrigiu o problema na semana passada no macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9.
- Os usuários podem reduzir o risco desativando o Compartilhamento de Tela quando não estiver em uso e instalando a atualização de segurança mais recente.
Vulnerabilidade grave no macOS permite execução remota de código
CVE-2026-65400 é um bug que permite que um invasor remoto execute código malicioso em um Mac sem precisar de nome de usuário ou senha. O recurso nativo de Compartilhamento de Tela da Apple, que usa o protocolo VNC para permitir que um computador visualize e controle outro por meio de uma rede, está no centro do problema.
Natureza e origem da vulnerabilidade
A causa raiz remonta a como o macOS lida com o “gerenciamento de estado” dentro do sistema de compartilhamento de tela — a contabilidade interna que rastreia eventos anteriores, interações do usuário e variáveis do sistema. Uma falha nessa lógica permite que um invasor contorne completamente as verificações adequadas de credenciais. Em termos práticos, alguém que se conecta à porta de compartilhamento de tela de um Mac vulnerável não precisa provar quem é antes de obter acesso.
Classificação de gravidade e detalhes técnicos
A Apple e pesquisadores de segurança classificam a falha em 7,1 de 10, uma pontuação que a coloca em território de alta gravidade sem atingir o nível máximo crítico. Os detalhes do bug se tornaram públicos pela primeira vez na conferência de segurança Black Hat da semana passada, e o próprio comunicado da Apple descreveu o problema com cautela, dizendo que a vulnerabilidade “pode” permitir que um invasor sem credenciais acesse um Mac. Esse tipo de linguagem cautelosa é bastante típico em todo o setor de tecnologia quando as empresas divulgam falhas de segurança, mesmo quando a exploração já está confirmada em ambiente real.
Exploração ativa confirmada pelo National Cyber Security Centrum holandês
O NCSC afirma que já recebeu relatos de ataques reais explorando essa vulnerabilidade de compartilhamento de tela do macOS, não apenas risco teórico. Em uma atualização de comunicado, a agência declarou que recebeu uma notificação indicando abuso ativo da falha em vários sistemas onde a porta 5900 estava acessível a partir da internet.
Condições para exploração
A porta 5900 é o canal de rede que o compartilhamento de tela baseado em VNC usa para se comunicar. Quando um usuário de Mac ativa o Compartilhamento de Tela, o firewall integrado do macOS abre automaticamente essa porta. A maioria dos roteadores domésticos e firewalls dedicados bloqueia a porta 5900 por padrão, mas se uma rede tiver sido configurada para permitir sua passagem — intencionalmente ou não — a máquina se torna acessível de qualquer lugar da internet. Essa exposição é exatamente a condição que o NCSC afirma que os invasores têm explorado.
Impacto observado em Macs afetados
De acordo com o comunicado do NCSC, todos os casos confirmados seguiram o mesmo padrão: os invasores obtiveram acesso root ao sistema e, em seguida, colocaram um minerador de criptomoeda Monero na máquina. Malware de mineração de Monero sequestra silenciosamente o poder de processamento de um computador para gerar criptomoeda para o invasor, muitas vezes sem quaisquer sintomas óbvios além de uma máquina lenta e um aumento no consumo de eletricidade. Até agora, não há indicação de que os invasores tenham usado o exploit para implantar algo mais danoso do que um minerador de criptomoeda — mas o mesmo acesso em nível de root poderia, teoricamente, ser reaproveitado para roubar credenciais ou instalar malware mais prejudicial.
Apple lança correção e recomendações de segurança
A Apple já disponibilizou uma correção, que é a forma mais eficaz de fechar esse vetor de ataque. A empresa lançou atualizações na semana passada que aprimoram os mecanismos de gerenciamento de estado por trás do Compartilhamento de Tela, aplicando validação adequada de credenciais e bloqueando as tentativas de autenticação ilegítimas que tornavam o exploit possível.
Detalhes do lançamento da correção
A correção foi incluída no macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 e macOS Sonoma 14.8.9. Qualquer pessoa executando uma versão anterior dessas três versões do macOS permanece exposta à vulnerabilidade até atualizar.
Boas práticas de segurança para usuários
Além de instalar a correção, profissionais de segurança recomendam manter o Compartilhamento de Tela desativado, a menos que esteja sendo usado ativamente, e desligá-lo novamente assim que a sessão terminar. A opção fica em Ajustes do Sistema, em Geral, depois Compartilhamento, onde os usuários podem ativar ou desativar o Compartilhamento de Tela. Para quem precisa de acesso remoto, conectar-se por meio de uma VPN ou túnel SSH em vez de expor diretamente a porta 5900 à internet é considerado mais seguro, embora essa abordagem exija etapas técnicas que fogem do que a maioria dos usuários comuns está preparada para configurar. Essa lacuna é parte do motivo pelo qual uma vulnerabilidade de compartilhamento de tela do macOS acessível como esta ainda consegue pegar tantos sistemas desprevenidos: a solução alternativa mais segura exige mais conhecimento de rede do que o proprietário médio de um Mac possui.
Por que isso ainda importa para usuários de Mac
Este caso é um lembrete de que recursos de conveniência trazem exposição oculta. O Compartilhamento de Tela foi projetado para facilitar a solução de problemas remota e o acesso a arquivos, mas deixá-lo ligado por padrão — especialmente em uma rede onde a porta 5900 passa pelo firewall do roteador — transforma uma ferramenta útil em um convite aberto. O NCSC não divulgou quantos sistemas foram atingidos, quando os ataques começaram ou se a exploração vai além da mineração de criptomoedas, deixando em aberto a possibilidade de que alguns Macs comprometidos estejam lidando com mais do que apenas um minerador oculto em execução em segundo plano.
Perguntas frequentes
Qual é a natureza da vulnerabilidade do macOS CVE-2026-65400?
É uma falha no gerenciamento de estado do compartilhamento de tela do macOS que permite que invasores remotos executem código malicioso sem credenciais.
Como os invasores estão explorando essa vulnerabilidade?
Os invasores exploram a vulnerabilidade quando a porta 5900 está exposta à internet e o compartilhamento de tela está ativado, obtendo acesso root e instalando mineradores de Monero.
Quais versões do macOS têm uma correção para essa vulnerabilidade?
A Apple lançou correções na semana passada para o macOS Tahoe, Sequoia e Sonoma para corrigir a vulnerabilidade.
Quais medidas de segurança os usuários podem tomar para se proteger?
Os usuários devem desativar o compartilhamento de tela quando não estiver em uso, fechar a porta 5900 e instalar as atualizações de segurança mais recentes.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Qual é a natureza da vulnerabilidade do macOS CVE-2026-65400?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”É uma falha no gerenciamento de estado do compartilhamento de tela do macOS que permite que invasores remotos executem código malicioso sem credenciais.”}},{“@type”:”Question”,”name”:”Como os invasores estão explorando essa vulnerabilidade?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Os invasores exploram a vulnerabilidade quando a porta 5900 está exposta à internet e o compartilhamento de tela está ativado, obtendo acesso root e instalando mineradores de Monero.”}},{“@type”:”Question”,”name”:”Quais versões do macOS têm uma correção para essa vulnerabilidade?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”A Apple lançou correções na semana passada para o macOS Tahoe, Sequoia e Sonoma para corrigir a vulnerabilidade.”}},{“@type”:”Question”,”name”:”Quais medidas de segurança os usuários podem tomar para se proteger?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Os usuários devem desativar o compartilhamento de tela quando não estiver em uso, fechar a porta 5900 e instalar as atualizações de segurança mais recentes.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
