黑客利用 macOS 屏幕共享漏洞挖掘门罗币

荷兰国家网络安全中心本周警告称，攻击者正在积极利用 macOS 屏幕共享漏洞。攻击者通过暴露在互联网中的 5900 端口获得系统根权限，并安装门罗币挖矿程序。该漏洞编号为 CVE-2026-65400，严重性评级为 7.1 分（满分 10 分），源于身份验证期间的状态管理错误，导致网络攻击者无需有效凭据即可登录。此次加密劫持活动是类似行动不断涌现的最新案例之一：攻击者在受害者的硬件上秘密挖掘隐私币门罗币，将收益收入囊中，而电费则由受害者承担。

攻击者利用 macOS 屏幕共享身份验证漏洞

荷兰国家网络安全中心（NCSC）表示，该机构已收到多起报告，称相关系统正遭到积极利用。这些系统的 5900 端口由屏幕共享使用，并暴露在互联网上。每起事件中，攻击者都获得了根权限，即对机器的最高级别控制权，并植入门罗币挖矿程序，利用受害者的硬件进行挖矿。

该漏洞属于身份验证缺陷，根源在于登录过程中的状态管理错误。它使网络攻击者无需有效凭据即可绕过身份验证，令本应被拒绝的身份验证尝试获得通过。该机构指出，目前已有针对该漏洞的公开概念验证代码在流传，从而降低了潜在攻击者的入门门槛。

门罗币是一种所谓的隐私币，即难以追踪的加密货币，不同于比特币或以太坊等透明网络。长期以来，门罗币一直是加密劫持活动的首选币种。在此类活动中，被劫持的机器为攻击者挖掘加密货币，攻击者将收益收入囊中，而受害者则承担电费和性能下降的代价。该代币的隐私功能使其挖矿收益比比特币收益难以追踪得多。

Apple 发布 macOS Sequoia、Sonoma 和 Tahoe 的补丁

Apple 此后已修复该问题，并在 macOS Sequoia 15.7.9、Sonoma 14.8.9 和 Tahoe 26.6.1 中强化身份验证检查。尚未更新的用户，尤其是屏幕共享可从开放互联网访问的用户，仍面临风险。

门罗币挖矿活动加入更广泛的加密劫持趋势

此次活动是不断涌现的相关行动中的最新一起。这些行动将他人的设备变成加密货币获利工具。就在本月，Bitdefender 发现《奥德赛》的盗版副本被植入了会窃取钱包资产的 Lumma Stealer。Decrypt 还报道了通过 BNB Chain 路由的虚假 CAPTCHA 页面传播的恶意软件、将钱包窃取代码隐藏在移动应用中的 SparkKitty 行动、针对 Steam 游戏玩家的恶意“动漫女孩”壁纸，以及被偷偷植入恶意 Python 库的加密货币窃取代码。

NCSC 建议立即更新并加强端口安全

NCSC 建议用户及时安装 Apple 的更新，并避免让屏幕共享从互联网访问，因为这正是攻击者最初发动攻击的入口。

常见问题

CVE-2026-65400 是什么？它如何影响 macOS 用户？

CVE-2026-65400 是 macOS 屏幕共享中的身份验证漏洞，严重性评级为 7.1 分（满分 10 分）。该漏洞源于登录过程中的状态管理错误，使网络攻击者能够在 5900 端口暴露于互联网的系统上，无需有效凭据即可获得根权限。

哪些 macOS 版本包含屏幕共享漏洞的补丁？

Apple 已在 macOS Sequoia 15.7.9、Sonoma 14.8.9 和 Tahoe 26.6.1 中修复该漏洞。尚未更新至这些版本的用户仍面临被利用的风险。

为什么攻击者偏好在加密劫持活动中使用门罗币？

门罗币是一种难以追踪的隐私币，不同于比特币或以太坊等透明网络。该代币的隐私功能使其挖矿收益难以追踪得多，这也是攻击者长期选择门罗币进行加密劫持活动的原因。在此类活动中，被劫持的机器为攻击者挖掘加密货币，而受害者承担电费和性能下降的代价。