CVE-2026-65400 donne root sans identifiants via Screen Sharing et installe des mineurs Monero

6 août 2026. Apple corrige CVE-2026-65400, une faille d’authentification dans Screen Sharing. 14 août 2026. Le NCSC néerlandais publie un avis : la faille est exploitée dans la nature sur des Mac dont le port 5900 est exposé à Internet. Les attaquants obtiennent root et installent des mineurs Monero.

Ce n’est pas une faille cryptographique spectaculaire. C’est une fonctionnalité de bureau à distance intégrée qui laisse entrer un attaquant sans identifiants valides — et c’est précisément ce qui la rend dangereuse pour les parcs d’entreprise.

Une faille d’état, pas une faille cryptographique

Screen Sharing est l’outil de contrôle à distance natif de macOS, qui parle VNC sur le port TCP 5900 et s’appuie sur le protocole SRP (Secure Remote Password) pour son authentification Apple native. La vulnérabilité CVE-2026-65400 contourne cette authentification : un attaquant sur un réseau joignable peut se connecter sans identifiants valides.

Apple décrit la correction par « une meilleure gestion d’état » (improved state management). En clair : le défaut se situe dans le flux d’authentification ou la validation d’état de session, pas dans la cryptographie. Le SRP lui-même n’est pas cassé — c’est la machine à états qui l’entoure qui autorisait un passage sans légitimation.

La nuance importe. Une faille cryptographique aurait exigé des cibles logicielles spécifiques. Une faille d’état touche toute version vulnérable, indépendamment de la configuration, dès lors que le service est joignable. Le correctif est livré pour macOS Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9.

Ce que permet un root sur macOS

Screen Sharing est désactivé par défaut. Mais une fois activé, il offre à l’attaquant exactement ce que son nom promet : voir et contrôler la machine à distance. Le NCSC néerlandais confirme que les cas actifs observés ont conduit à une prise de contrôle root suivie de l’installation de logiciels de minage.

Le minage n’est pourtant que la partie visible. Un accès root ouvre la voie à :

• Persistance : installation de services et de profils qui survivent aux redémarrages
• Vol de données : documents, trousseaux d’accès, navigateurs, journaux
• Récolte d’identifiants et de clés : clés SSH, tokens, secrets de build
• Déploiement de charges supplémentaires : rançongiciel, backdoor, espionnage
• Mouvement latéral : rebond vers le reste du réseau depuis une machine de confiance

Une station de travail compromise au niveau root est une passerelle vers tout ce que son utilisateur peut atteindre. Dans un environnement où un développeur se connecte à des serveurs, à un dépôt de code ou à un VPN d’entreprise, le rayon de dégâts dépasse largement la machine elle-même.

Pourquoi Monero

Le choix du Monero n’est pas anodin. Contrairement à Bitcoin, dont le minage exige des ASIC spécialisés, le Monero se mine efficacement avec n’importe quel CPU ou GPU — exactement ce qu’offre un Mac. Pas besoin de matériel dédié, pas de coût d’entrée : une flotte de machines compromises devient immédiatement rentable.

C’est le motif économique typique des compromissions de masse : Monero combine un algorithme résistant aux ASIC et une confidentialité des transactions qui complique le suivi des paiements. Pour l’attaquant, c’est le meilleur rendement par machine volée.

Qui est exposé

L’exposition pratique exige deux conditions réunies : Screen Sharing activé et port 5900 joignable depuis Internet. La seconde condition passe le plus souvent par une redirection de port sur la box, une IP publique attribuée directement, ou une configuration chez un hébergeur qui n’isole pas la machine.

Les machines joignables seulement depuis un réseau interne restent potentiellement exposées, mais l’attaquant doit d’abord avoir pris pied sur ce réseau. Le risque maximal concerne donc les Mac rendus accessibles directement depuis Internet — un anti-pattern que beaucoup d’équipes sous-estiment encore.

Le point à retenir est structurel : VNC, le protocole sous-jacent, n’a jamais été conçu pour être exposé nu à Internet. Screen Sharing hérite de cette fragilité, et CVE-2026-65400 en supprime le dernier verrou.

Un protocole qui n’a jamais dû être exposé

La faille CVE-2026-65400 touche un protocole dont la fragilité est documentée depuis des années. VNC transporte des sessions graphiques en clair ou avec un chiffrement faible, et son mot de passe d’accès est limité à huit caractères sur les anciennes implémentations. Des recensements publics ont régulièrement trouvé des centaines de milliers d’instances VNC joignables depuis Internet, souvent sans authentification.

Apple a amélioré la donne avec SRP — un échange de clé authentifié par mot de passe, résistant à l’écoute passive — mais l’exposition du port 5900 reste un risque structurel. Une faille d’état dans le flux d’authentification, comme celle-ci, annule d’un coup toute la sécurité que SRP apporte.

La leçon dépasse macOS. Tout service de bureau à distance — RDP, VNC, Screen Sharing — devrait être inaccessible depuis Internet sans tunnel. Les contournements d’authentification n’arrivent pas sur des services internes ; ils arrivent sur des services qu’on a exposés.

Corriger et durcir

La première action est la mise à jour. Sur tout Mac concerné, appliquez le correctif macOS Tahoe 26.6.1, Sequoia 15.7.9 ou Sonoma 14.8.9 selon la branche, via Réglages Système → Général → Mise à jour de logiciels.

Si la mise à jour ne peut pas être immédiate, désactivez Screen Sharing — et, sur la même page Partage, vérifiez aussi Gestion à distance (Remote Management), qui offre une autre voie de contrôle à distance et doit rester coupée sauf usage professionnel explicite.

# Vérifier si Screen Sharing écoute (sur macOS, en tant qu'admin)
sudo lsof -nP -iTCP:5900 -sTCP:LISTEN
# Rien ne doit s'afficher si le service est désactivé.

Au-delà du correctif, vérifiez les signes d’une compromission antérieure : processus inhabituels (launchctl list), éléments de démarrage dans /Library/LaunchAgents, entrées inconnues dans ~/.ssh/authorized_keys, et pics de charge CPU persistants — la signature d’un mineur. Une machine déjà compromise avant la mise à jour ne se répare pas seule : le correctif ferme la porte, il n’expulse pas l’intrus.

En entreprise, traitez l’incident comme une compromission root à part entière : isolez la machine, coupez les sessions, révoquez les identifiants accessibles depuis celle-ci, et auditez ce que le compte de l’utilisateur pouvait atteindre. Le minage n’est souvent que la charge utile visible d’une intrusion plus large.

Enfin, la règle d’hygiène réseau : n’exposez jamais le port 5900 à Internet. Si un accès distant est nécessaire, passez par un VPN ou un tunnel chiffré avec authentification forte — jamais par une redirection de port nue vers VNC. Le correctif ferme cette faille précise ; il n’annule pas la fragilité du protocole sous-jacent.

Verdict

Si vous gérez des Mac dans un parc d’entreprise, appliquez le correctif et désactivez Screen Sharing partout où il n’est pas strictement nécessaire, puis auditez vos règles de pare-feu pour confirmer qu’aucun port 5900 n’est routé depuis l’extérieur. Une faille d’authentification exploitée dans la nature sur un service de contrôle à distance ne pardonne pas la procrastination.

Si vous êtes un utilisateur individuel, la consigne tient en une phrase : mettez à jour, et ne laissez pas Screen Sharing actif « au cas où ». Le minage de Monero est la conséquence la plus visible aujourd’hui — la prise de contrôle root en est la vraie menace.

Le signal de fond : ce n’est pas la cryptographie qui a cédé, c’est la gestion d’état d’un flux d’authentification. Les failles les plus coûteuses de 2026 continuent d’être des contournements d’authentification sur des services exposés — pas des cassures spectaculaires de chiffrement.

Références

• Malwarebytes — Update your Mac: Screen Sharing vulnerability exploited in the wild, 17 août 2026
• NCSC-NL — Avis NCSC-2026-0280, 14 août 2026
• NVD — CVE-2026-65400, consulté le 17 août 2026