Des pirates informatiques ont exploité une vulnérabilité de la fonction Screen Sharing de macOS afin de prendre le contrôle de plusieurs Mac accessibles depuis Internet et d’y installer des logiciels de minage de Monero.

L’exploitation active de la faille a été confirmée par le Centre national néerlandais de cybersécurité (NCSC). Apple a publié les correctifs nécessaires le 6 août 2026.

Une vulnérabilité permettant de contourner l’authentification

Référencée sous le numéro CVE-2026-65400, la vulnérabilité concerne le système d’authentification de la fonction de partage d’écran de macOS.

Apple explique qu’un attaquant présent sur le réseau pouvait parvenir à s’authentifier auprès de Screen Sharing sans disposer d’identifiants valides.

Le problème provenait d’une mauvaise gestion de l’état du processus d’authentification. Apple indique avoir renforcé ce mécanisme afin d’imposer correctement la validation des identifiants.

📖 Monero menacé par Qubic : une domination minière à 51 %

Des Mac compromis avec un accès root

Le NCSC néerlandais a reçu un signalement faisant état d’une exploitation réelle de la vulnérabilité sur plusieurs systèmes.

Dans les cas observés, le port 5900, utilisé par le partage d’écran, était accessible directement depuis Internet.

Selon le NCSC, les attaquants avaient obtenu un accès root aux machines compromises avant d’y installer un logiciel destiné à miner du Monero (XMR).

L’agence néerlandaise ne précise ni le nombre exact de Mac effectivement compromis ni l’identité des attaquants.

Apple a corrigé la faille le 6 août

Apple a publié les correctifs de sécurité le 6 août 2026.

• macOS Tahoe 26.6.1 ;
• macOS Sequoia 15.7.9 ;
• macOS Sonoma 14.8.9.

Les versions antérieures concernées restent vulnérables lorsqu’elles n’ont pas reçu la mise à jour.

Le NCSC a mis à jour son avis le 12 août après avoir été informé de l’exploitation active de la faille et de la disponibilité publique d’un code de démonstration.

Une vulnérabilité désormais classée critique

La gravité de la CVE-2026-65400 a également été réévaluée.

Les données du National Vulnerability Database indiquent désormais un score CVSS 3.1 de 9,8 sur 10 attribué par CISA-ADP, ce qui correspond à un niveau critique.

Le vecteur retenu décrit une attaque réalisable à distance via le réseau, sans privilège préalable ni interaction de l’utilisateur, avec un impact potentiel élevé sur la confidentialité, l’intégrité et la disponibilité du système.

Pourquoi les attaquants installent-ils des mineurs de Monero ?

Ce type d’attaque est appelé cryptojacking. Le pirate détourne les ressources informatiques d’une machine qu’il ne possède pas afin de produire de la cryptomonnaie à son profit.

Monero est régulièrement utilisé dans ce type d’opération car son algorithme de minage peut fonctionner sur des processeurs informatiques classiques, sans nécessiter les machines ASIC spécialisées utilisées pour le minage de Bitcoin.

Pour la victime, le problème ne se limite pas à la consommation électrique ou à la puissance processeur détournée. Dans les incidents rapportés par le NCSC, les pirates avaient obtenu un contrôle root du système, ce qui constitue une compromission beaucoup plus profonde de la machine.

⚠️ Les Mac exposant Screen Sharing sur Internet doivent être mis à jour immédiatement

Le point essentiel est simple : un Mac utilisant une version vulnérable de macOS et exposant son service Screen Sharing au réseau peut présenter un risque important.

La priorité consiste donc à installer les versions corrigées publiées par Apple. Lorsqu’un service d’accès distant n’est pas nécessaire, il est également préférable de ne pas l’exposer directement à Internet.

🔎 Analyse DUC : Monero est ici simplement l’outil choisi par les attaquants

Cette affaire est intéressante parce qu’elle ne concerne pas une faille de Monero. Monero est ici simplement l’outil choisi par les attaquants pour monétiser les ordinateurs compromis.

Le véritable problème se situe dans macOS : une faille d’authentification a permis à des attaquants de prendre le contrôle de machines exposées et d’y obtenir des privilèges root.

Le score de 9,8 sur 10 montre le sérieux de la vulnérabilité. Lorsqu’un correctif de cette importance est disponible et qu’une exploitation active est déjà observée, reporter la mise à jour n’a plus beaucoup de sens.

Enfin, le cryptojacking paraît parfois moins grave qu’un vol direct de cryptomonnaies. Mais obtenir un accès root signifie que l’attaquant peut potentiellement faire bien davantage que simplement utiliser le processeur pour miner du XMR.

✍️ DUC
📌 Sources : NCSC Pays-Bas — NCSC-2026-0280 | Apple — mise à jour de sécurité macOS | NVD — CVE-2026-65400

🚀 Rejoignez-moi pour plus de contenu exclusif !

• 👉 YouTube : Bitcoin sans détour
• 👉 X : @bitcoinduc

📢Prendre des décisions informées dans cet univers passionnant ! Comprendre, Apprendre, Réussir…

• Sur YouTube : toute l’actualité de Bitcoin et un regard averti sur l’ensemble de l’univers des cryptomonnaies.

🔔 Abonnez-vous au site pour ne manquer aucun contenu

À bientôt, DUC