VKSECURITY A falha do Mac que já está sendo explorada — e instala minerador na máquina
Uma brecha no Compartilhamento de Tela do macOS aceitava conexão sem senha válida. A Apple corrigiu, mas invasores já estão usando a falha para obter controle total de Macs e instalar mineradores de criptomoeda.
Existe uma diferença enorme entre “descobriram uma falha” e “estão usando a falha agora”. Esta é do segundo tipo.
A Apple corrigiu no dia 6 de agosto uma vulnerabilidade no Compartilhamento de Tela do macOS — o recurso nativo que permite acessar um Mac remotamente. A falha, catalogada como CVE-2026-65400, tem gravidade 9.8 de 10 e faz algo que não deveria ser possível: permite que alguém se conecte à sua máquina sem apresentar uma senha válida.
Duas semanas depois, autoridades de segurança confirmaram o que se temia: a exploração já está acontecendo no mundo real.
O que os invasores estão fazendo
O padrão observado nos ataques é direto e lucrativo:
- Varrem a internet procurando Macs com a porta 5900 acessível — é a porta usada pelo Compartilhamento de Tela.
- Usam a falha para entrar sem credencial.
- Escalam privilégios até obter acesso root (o nível mais alto, com poder total sobre o sistema).
- Instalam um minerador de Monero — um programa que usa o processador da máquina para gerar criptomoeda para o invasor.
O minerador é a parte que a vítima pode perceber: o Mac fica lento, a ventoinha não para, a bateria dura menos. Mas o minerador é o menor dos problemas. Quem conseguiu acesso root pode ler qualquer arquivo, instalar qualquer coisa e usar aquela máquina como ponte para o resto da rede da empresa.
Por que essa saiu do papel tão rápido
Três fatores se somaram, e vale entender porque esse combo se repete:
- A gravidade é máxima e o alvo é simples. Contornar autenticação não exige que a vítima clique em nada, baixe nada, seja enganada por nada. Basta a máquina estar alcançável.
- Apareceu uma prova de conceito pública. Quando o código que demonstra a falha circula abertamente, a barreira técnica cai — deixa de ser trabalho de especialista.
- O alvo é fácil de encontrar. Varrer a internet inteira procurando uma porta específica é trivial e barato. Não há “esconderijo” para uma máquina exposta.
O Centro Nacional de Cibersegurança da Holanda (NCSC-NL) emitiu alerta formal sobre a exploração ativa, e a agência de cibersegurança americana (CISA) elevou a classificação de severidade após os ataques começarem.
Quem corre risco de verdade
A boa notícia: o Compartilhamento de Tela vem desligado por padrão no macOS. Para estar em risco, é preciso que ele tenha sido ligado e que a máquina esteja alcançável da internet.
O problema é que isso é mais comum do que parece em ambiente corporativo:
- O Mac do designer que fica no escritório e ele acessa de casa — com uma regra de redirecionamento no roteador que alguém configurou “temporariamente” há dois anos.
- Macs hospedados em provedores de nuvem, que recebem IP público direto.
- Máquinas de desenvolvedor com IP público em escritórios que nunca revisaram as regras do firewall.
O que fazer, em ordem de urgência
- Atualize agora. As correções estão no macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. Se sua empresa gerencia os Macs por MDM, force a atualização em vez de esperar cada pessoa clicar.
- Desligue o Compartilhamento de Tela onde ninguém usa. Em Ajustes do Sistema → Geral → Compartilhamento. Recurso que não está ligado não pode ser explorado.
- Nunca deixe a porta 5900 aberta para a internet. Acesso remoto legítimo se faz por VPN, não por porta exposta. Vale pedir ao seu time de TI uma varredura das regras do firewall e do roteador procurando redirecionamentos antigos.
- Verifique sinais de comprometimento nas máquinas expostas: processos consumindo CPU sem explicação, ventoinha constante, itens de inicialização desconhecidos, contas administrativas novas.
Vale dizer o óbvio que muita empresa ainda ignora: Mac também é alvo. A ideia de que “vírus é coisa de Windows” atrasou a política de atualização de Mac em muitas empresas — e casos como este são a fatura.
Fontes
- Apple — notas de segurança das atualizações do macOS: support.apple.com
- NVD / NIST — registro oficial da CVE-2026-65400: nvd.nist.gov
- CISA — catálogo de vulnerabilidades exploradas conhecidas (KEV): cisa.gov
- NCSC-NL — alerta sobre exploração ativa: ncsc.nl
- Huntress — análise técnica da cadeia de exploração no macOS: huntress.com
