Alerta de Vulnerabilidade - Apple macOS Screen Sharing

Vulnerabilidade na autenticação no serviço Screen Sharing do macOS, com o identificador CVE-2026-65400/EUVD-2026-54216 [1][2][3]. O Screen Sharing é o serviço de acesso remoto ao ambiente de trabalho incorporado no macOS, que escuta no porto TCP 5900. A vulnerabilidade está presente na implementação do protocolo SRP (Secure Remote Password) pelo daemon screensharingd: o validador de comprimento de frames devolve erroneamente um estado de sucesso desatualizado, fazendo com que a ligação seja tratada como autenticada sem que sejam verificadas credenciais válidas. A sessão resultante não dispõe de proteção criptográfica [5].

São afetadas todas as versões suportadas do macOS Sonoma, Sequoia e Tahoe anteriores às versões corrigidas. A correção foi disponibilizada a 6 de agosto de 2026 nas versões macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 e macOS Sonoma 14.8.9 [1][2].

A exploração requer acesso de rede ao porto TCP 5900 num sistema com o Screen Sharing ativo. Um atacante que conclua a autenticação sem credenciais obtém uma sessão com privilégios de root que permite ler e escrever ficheiros arbitrários no sistema, o que é suficiente para executar código remoto como root [5]. A exploração ativa foi confirmada pelo NCSC holandês (NCSC-NL) a 12 de agosto de 2026: em todos os casos reportados, os atacantes obtiveram acesso root e instalaram um minerador de criptomoedas Monero como payload, com persistência estabelecida via chaves SSH e Launch Daemons [4].

Recomenda-se a atualização imediata para macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 ou macOS Sonoma 14.8.9 [1][2].

Medidas adicionais recomendadas:

• Se não for possível atualizar de imediato, desativar o Screen Sharing em Definições do Sistema ou garantir que o TCP 5900 não está acessível a partir de redes não confiáveis [1];
• O Screen Sharing não está ativo por predefinição; auditar quais os sistemas que têm o serviço ativo e verificar se o porto TCP 5900 está exposto à Internet [5];
• Verificar a presença de chaves SSH não autorizadas em ~/.ssh/authorized_keys, procurar Launch Daemons adicionados recentemente e analisar processos com elevado consumo de CPU [4][5].

[1] - https://support.apple.com/en-us/148170
[2] - https://support.apple.com/en-us/148171
[3] - https://nvd.nist.gov/vuln/detail/CVE-2026-65400
[4] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-65400
[5] - https://www.huntress.com/blog/macos-screen-sharing-rce-patched