Una vulnerabilidad en la función Screen Sharing de macOS está siendo explotada activamente para tomar el control de ordenadores Mac e instalar software que mina Monero sin autorización. El fallo permite a atacantes remotos superar el proceso de autenticación y conseguir privilegios root cuando el servicio de pantalla compartida está expuesto directamente a Internet.
Un fallo en Screen Sharing permite acceder sin credenciales válidas
El Centro Nacional de Ciberseguridad de Países Bajos, NCSC, ha advertido de ataques activos contra sistemas macOS vulnerables.
Los incidentes detectados afectan especialmente a equipos que mantienen expuesto a Internet el puerto 5900, utilizado por la función Screen Sharing para conexiones remotas.
La vulnerabilidad está identificada como CVE-2026-65400 y ha recibido una puntuación de gravedad de 7,1 sobre 10.
El problema se encuentra en la gestión del estado durante el proceso de autenticación. En determinadas circunstancias, un atacante conectado mediante la red puede conseguir que el sistema acepte una autenticación que debería haber sido rechazada.
Los atacantes consiguen privilegios root
La gravedad del ataque aumenta considerablemente porque los ciberdelincuentes observados por las autoridades consiguieron obtener acceso root.
Este nivel de privilegios proporciona prácticamente control total sobre el sistema comprometido.
Una vez dentro del Mac, los atacantes instalaron programas destinados a utilizar los recursos del ordenador para minar Monero (XMR).
La víctima proporciona involuntariamente capacidad de CPU, electricidad y otros recursos mientras las recompensas generadas mediante la minería terminan en manos del atacante.
Monero vuelve a ser utilizado en campañas de cryptojacking
Este tipo de ataque se conoce como cryptojacking.
En lugar de robar directamente criptomonedas de una wallet, los ciberdelincuentes secuestran la capacidad informática de otros dispositivos para generar activos digitales.
Monero continúa siendo una de las criptomonedas más utilizadas para estas operaciones debido a sus características de privacidad.
A diferencia de redes transparentes como Bitcoin o Ethereum, Monero está diseñado para dificultar el seguimiento público de las transacciones, haciendo más complicado rastrear posteriormente los fondos obtenidos por los atacantes.
Ya circula públicamente código para explotar la vulnerabilidad
Otro elemento que incrementa el riesgo es la aparición de código proof-of-concept público relacionado con CVE-2026-65400.
La disponibilidad de una prueba de concepto reduce la barrera técnica para intentar explotar sistemas que todavía permanezcan vulnerables.
Esto hace especialmente importante actualizar aquellos equipos Mac que tengan servicios de acceso remoto configurados o que puedan ser accesibles desde Internet.
Apple ya ha corregido el problema
Apple ha publicado actualizaciones que corrigen la vulnerabilidad mediante controles de validación adicionales durante la autenticación.
El parche está disponible en:
- macOS Sequoia 15.7.9
- macOS Sonoma 14.8.9
- macOS Tahoe 26.6.1
Los equipos que todavía no hayan instalado las actualizaciones correspondientes podrían continuar expuestos, especialmente cuando Screen Sharing sea accesible desde Internet.
El malware relacionado con criptomonedas continúa evolucionando
El incidente se suma a una serie de campañas recientes que utilizan diferentes técnicas para comprometer dispositivos y obtener criptomonedas.
Los atacantes están utilizando desde páginas con CAPTCHA falsos hasta aplicaciones, librerías de software y archivos manipulados para distribuir malware.
El objetivo también varía dependiendo de la campaña: algunas buscan robar claves privadas y wallets, mientras otras, como la detectada en macOS, intentan aprovechar silenciosamente los recursos informáticos de las víctimas.
Actualizar macOS y limitar Screen Sharing reduce la exposición
El NCSC recomienda instalar las actualizaciones de seguridad de Apple cuanto antes.
También aconseja evitar que Screen Sharing permanezca directamente accesible desde Internet, precisamente la configuración que permitió a los atacantes alcanzar los sistemas afectados.
La combinación entre explotación activa, acceso root y disponibilidad pública de código proof-of-concept convierte a CVE-2026-65400 en una vulnerabilidad especialmente relevante para usuarios y organizaciones que utilicen acceso remoto en equipos Mac.
