macOS 高危漏洞遭攻击：无密码远程控... Features
荷兰国家网络安全中心(NCSC)本周发布警告，一个允许攻击者远程执行恶意代码的 macOS 高危漏洞正在被积极利用。该漏洞追踪编号为 CVE-2026-65400，存在于 macOS 屏幕共享功能中，攻击者无需任何凭据即可登录受害者的 Mac，并植入门罗币挖矿程序。Apple 已于上周发布安全更新修补此漏洞，但安全专家警告称，更危险的攻击可能正在酝酿之中。
律师声明CVE-2026-65400：屏幕共享功能成攻击入口
据 Ars Technica 报道，该漏洞源于 macOS 屏幕共享功能中的「状态管理」缺陷——系统未能正确追踪用户交互、变量等前置状态，导致远程攻击者可以绕过身份验证，直接获取系统的 root 权限。Apple 在安全通告中承认，该漏洞「可能」允许未授权攻击者访问 Mac，并将其严重性评级为 7.1 分（满分 10 分）。Apple 将漏洞发现归功于安全公司 Bynario。
辟谣声明荷兰 NCSC 在咨询通告中明确指出：「NCSC 已收到通知，表明在多个可从互联网访问 5900 端口的系统上观察到了该漏洞的主动滥用。」通告补充说，所有受影响系统中，攻击者均已取得 root 权限，并植入了门罗币加密货币挖矿程序。
谣言澄清攻击已在野外发生，门罗币矿工是当前主要载荷
截至 2026 年 8 月 17 日，荷兰 NCSC 确认至少存在多起利用 CVE-2026-65400 的攻击事件。攻击者通过互联网扫描暴露的 5900 端口，在未授权的情况下远程登录目标 Mac，继而植入挖矿木马。门罗币（Monero）因其隐私特性成为挖矿攻击的首选加密货币。
安全研究员指出，当前观测到的攻击仅植入挖矿程序，但漏洞的潜在危害远不止于此。攻击者完全可能利用同样的漏洞安装窃取密码、银行凭证或其他敏感信息的恶意软件。Ars Technica 的安全编辑 Dan Goodin 在报道中写道：「一个更严重的风险是，攻击者可能利用该漏洞安装恶意软件，窃取凭据或执行其他更恶劣的活动。」
漏洞影响范围：三种 macOS 版本受影响
Apple 在 2026 年 8 月 7 日的安全更新中修复了 CVE-2026-65400，涉及以下三个 macOS 大版本：
| 受影响的 macOS 版本 | 修复版本 | 严重性等级 | 漏洞类型 |
|---|
| --- | --- | --- | --- |
|---|
| macOS Tahoe | 安全更新 2026-005 | 7.1（高） | 状态管理缺陷 |
|---|
| macOS Sequoia | 安全更新 2026-005 | 7.1（高） | 状态管理缺陷 |
|---|
| macOS Sonoma | 安全更新 2026-005 | 7.1（高） | 状态管理缺陷 |
|---|
需要特别注意的是，macOS 屏幕共享功能基于 VNC 协议，默认监听 5900 端口。当用户启用屏幕共享时，macOS 防火墙会自动打开该端口。如果路由器或专用防火墙未对此端口进行额外封锁，Mac 就会直接暴露在互联网上，成为攻击者的目标。
5900 端口暴露：罪魁祸首是默认配置
安全社区长期以来一直警告用户不要将 5900 端口直接暴露在互联网上。ProtocolPorts.org 和 CodnaMacs 等安全网站均建议，即使需要使用屏幕共享，也应通过 VPN 或 SSH 隧道进行连接，而不是直接开放端口。然而，这些替代方案需要一定的技术能力，大多数普通用户难以自行完成。
荷兰 NCSC 在通告中强调，目前确认的被攻击系统均为 5900 端口可从互联网直接访问的设备。这意味着，那些依赖路由器默认配置、未额外设置端口转发的用户，只要启用了屏幕共享，就可能处于风险之中。安全专家建议，最稳妥的做法是彻底关闭屏幕共享功能，仅在必要时临时开启，并在会话结束后立即关闭。
漏洞细节在 Black Hat 大会公开，Apple 言辞暧昧引发猜测
CVE-2026-65400 的技术细节于上周（2026 年 8 月 10 日至 14 日）在拉斯维加斯举行的 Black Hat 安全大会上由安全公司 Calif 公开。该公司发布了一段漏洞利用演示视频，显示攻击者如何在无需密码的情况下完全控制一台 Mac。
值得注意的是，Apple 在其安全通告中使用「可能」一词来描述漏洞的利用难度，而非更强烈的肯定表述。安全分析人士指出，虽然 Apple 的措辞可能只是出于谨慎，但也不排除该公司尚未完全评估漏洞影响的可能性。「许多科技公司在披露漏洞时都会使用模糊语言，这种情况并不罕见，」Dan Goodin 在报道中评论道。无论如何，荷兰 NCSC 的警告已经证明，该漏洞的利用并非理论上的可能性。
如何保护你的 Mac：立即行动清单
对于尚未安装更新的 macOS 用户，安全专家给出以下建议：
- 立即安装 Apple 安全更新 2026-005，覆盖 Tahoe、Sequoia 和 Sonoma 三个版本。
- 关闭屏幕共享功能：进入「系统设置 > 通用 > 共享」，关闭「屏幕共享」开关。
- 检查路由器设置，确认 5900 端口没有被映射到内网设备。
- 使用 VPN 或 SSH 隧道替代直接暴露端口的方式。
- 检查系统是否存在异常进程，尤其是名为 xmrig 或其他挖矿相关的进程。
安全研究员提醒，攻击者利用漏洞后通常会安装持久化后门，仅仅关闭屏幕共享并不能清除已经植入的恶意软件。如果怀疑系统已被入侵，建议使用专业安全工具进行全面扫描，或在必要时备份数据并重装系统。
Q1: 如何判断我的 Mac 是否受到 CVE-2026-65400 漏洞影响？
A1： 首先，检查是否安装了 Apple 安全更新 2026-005——进入「系统设置 > 通用 > 软件更新」查看。如果你运行的是 macOS Tahoe、Sequoia 或 Sonoma 且未安装更新，并且开启了屏幕共享（系统设置 > 通用 > 共享 > 屏幕共享），那么你的 Mac 存在风险。此外，若发现系统运行异常缓慢、CPU 占用率持续偏高，可使用「活动监视器」检查是否有未知进程在挖矿。
Q2: 这个漏洞与之前的 macOS 漏洞有何不同？
A2： CVE-2026-65400 的核心特点在于无需任何用户交互或凭据即可远程利用，攻击者只需要能够访问目标的 5900 端口。相比之下，许多历史漏洞需要用户点击恶意链接或打开恶意文件才能触发。这个漏洞直接暴露了 macOS 屏幕共享功能的认证绕过问题，影响范围涵盖所有开启该功能的联网 Mac，危害等级极高。
荷兰国家网络安全中心已在 2026 年 8 月 14 日发布正式通告，建议所有受影响用户立即采取缓解措施。随着 Black Hat 大会公开漏洞细节，攻击者利用该漏洞的窗口期可能进一步扩大。对于 Mac 用户而言，立即安装更新、关闭不必要的屏幕共享服务，是当前最紧迫的安全任务。
