macOS Screen Sharingの脆弱性CVE-2026-65400が実際のサイバー攻撃に悪用　rootアクセス後にMoneroマイナーを設置

オランダ国家サイバーセキュリティセンター（NCSC-NL）は2026年8月12日、macOSの画面共有機能「Screen Sharing」に存在する認証の脆弱性　CVE-2026-65400について、実際のサイバー攻撃での悪用を確認したと公表しました。インターネットからTCPポート5900へ接続できる複数のシステムが標的となり、確認されたすべての事例でrootアクセスの取得とMonero暗号資産マイナーの設置が確認されています。Appleは8月6日に修正版を公開済みで、公開PoCも確認されていることから、画面共有を利用する組織は早急な更新と侵害有無の確認が必要です。

macOS Screen Sharing脆弱性悪用のサマリー

• 対象の脆弱性は、macOSのScreen Sharingにおける認証不備CVE-2026-65400です。
• Appleは2026年8月6日、macOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9で修正しました。
• Appleによると、ネットワーク上の攻撃者が有効な認証情報なしにScreen Sharingへ認証できる可能性があります。
• NCSC-NLは8月12日、インターネットからポート5900へ接続できる複数のシステムで悪用が確認されたと公表しました。
• NCSC-NLが把握したすべての事例で、rootアクセスの取得とMoneroマイナーの設置が確認されています。
• 公開PoCの存在はNCSC-NLとHuntressの一次情報で確認できます。
• パッチ公開前から悪用されていたことは確認できず、ゼロデイ攻撃とは断定できません。
• 攻撃者、攻撃開始時期、被害台数、情報窃取の有無、Moneroマイナー以外のペイロードは公表されていません。
• CVSSは評価元により異なり、NVD上のCISA-ADP評価は9.8、JVN iPediaとNCSC-NLは7.1です。NVD自身の評価値は8月16日時点で未設定です。
• 2026年8月16日時点で、CVE-2026-65400はCISAのKnown Exploited Vulnerabilities Catalog（KEV）に掲載されていません。
• 更新できない場合はScreen Sharingを無効化し、TCPポート5900をインターネットへ直接公開しない対応が必要です。
• 侵害済みの端末では、アップデートだけでは設置済みマルウェアを除去できないため、ネットワーク隔離と調査が必要です。

NCSC-NLが複数システムでの悪用を確認

NCSC-NLは2026年8月7日にアドバイザリNCSC-2026-0280の初版を公開し、8月12日にバージョン1.0.1へ更新しました。更新理由は、公開PoCの存在と実際の悪用が確認されたためです。

同機関によると、悪用が確認されたのはポート5900がインターネットから到達可能だった複数のシステムです。確認されたすべての事例で、攻撃者は対象システムのrootアクセスを取得し、Moneroの暗号資産マイナーを設置していました。

ただし、NCSC-NLは被害台数、攻撃開始時期、攻撃者の属性、侵入後の詳細な活動、具体的な侵害指標を公表していません。情報窃取や他のマルウェア設置が確認されたとの記載もなく、現時点で確認できる被害はrootアクセスの取得とMoneroマイナーの設置です。

有効な認証情報なしにScreen Sharingへ接続される可能性

Screen Sharingは、別のコンピューターからMacの画面を表示し、ファイルやウインドウの操作、アプリの起動、再起動などを行えるmacOSの標準機能です。Appleの資料では、画面共有やリモート操作にTCPポート5900が使用されます。

AppleはCVE-2026-65400について、認証処理の状態管理に問題があり、ネットワーク上の攻撃者が有効な認証情報なしにScreen Sharingへ認証できる可能性があると説明しています。修正版では状態管理を改善し、正しい認証情報の検証を強制するようにしました。

Appleの公式説明は認証回避までに留まります。一方、Huntressは技術分析で、Screen SharingサービスのSecure Remote Password（SRP）実装に問題があり、認証前のリモートコード実行につながると評価しています。同社は、攻撃者がroot権限で任意ファイルの読み書きを行える可能性も指摘しています。実際の攻撃でrootアクセスが取得されたことは、NCSC-NLの公表とも一致します。

影響を受けるmacOSと修正版

NVDとJVN iPediaが示す影響範囲、およびAppleが公開した修正版は次のとおりです。

Appleはいずれの修正版も2026年8月6日に公開しています。セキュリティ対策Labでは、修正公開時点の情報を「Microsoft、Azure・Entra・Teams関連にCVSS最大値10.0を含む脆弱性を修正　AppleもmacOS画面共有の認証回避に対応」で取り上げていました。その後、NCSC-NLによって実際の悪用が公表されたため、対応優先度は修正公開時点より高まっています。

公開PoCが存在するがゼロデイ悪用は確認できず

NCSC-NLは8月12日の改訂で、公開PoCが利用可能であることを明記しました。Huntressも、修正版より前のバージョンに影響する公開PoCが存在すると説明しています。このため、インターネットへScreen Sharingを公開している未更新端末は、再現可能な攻撃手段にさらされている状態です。

一方、確認した一次ソースでは、Appleが修正版を公開した8月6日より前から実際の攻撃に悪用されていたとは確認できませんでした。したがって、本脆弱性をゼロデイ脆弱性、または今回の攻撃をゼロデイ攻撃と表現する根拠は現時点ではありません。

CVSSは9.8と7.1が併存、CISA KEVは未掲載

CVE-2026-65400のCVSSは情報源により異なります。NVDの画面では、CISA-ADPによるCVSS v3.1の基本値として9.8（Critical）が表示されています。攻撃元区分はネットワーク、攻撃条件の複雑さは低、必要な権限と利用者の関与はいずれも不要という評価です。ただし、NVD自身のCVSS評価は8月16日時点で未設定です。

これに対し、JVN iPediaとNCSC-NLはCVSS v3の基本値を7.1として掲載しています。JVN iPediaの評価では、攻撃に必要な特権レベルが低とされ、完全性への影響も低く評価されています。CISA-ADPは8月14日に評価ベクトルを更新しており、評価時点や想定する影響範囲の違いがスコア差に反映されているとみられます。

また、CISAが公開するKEVカタログと公式GitHubミラーを確認したところ、2026年8月16日時点でCVE-2026-65400の掲載は確認できませんでした。NVD上にCISA-ADPの評価があることと、CISA KEVへの掲載は別の扱いです。NCSC-NLが実悪用を確認しているため、KEV未掲載を理由に対応を遅らせるべきではありません。

更新できない場合はScreen Sharingとポート5900を遮断

Appleが提供する修正版への更新が最優先です。直ちに更新できない場合は、「システム設定」から「一般」「共有」と進み、Screen Sharingを無効化します。Appleのユーザーガイドでも、Screen Sharingを無効にすると他のコンピューターからMacへ接続できなくなると説明されています。

併せて、ファイアウォール、ルーター、クラウドのセキュリティグループ、ポートフォワーディング設定を確認し、TCPポート5900がインターネットから直接到達できない状態にします。業務上リモート操作が必要な場合は、接続元を制限したVPNなどの保護された経路を使用し、画面共有ポートを不特定多数へ公開しない構成が必要です。

Huntressによると、この脆弱性は認証前に成立するため、許可ユーザーの削除、VNCパスワード認証の無効化、VNCパスワードの変更だけでは対策になりません。更新またはScreen Sharing自体の無効化が必要です。

情報システム部門への示唆

情報システム部門は、社内のMacだけでなく、開発用Mac mini、ビルド端末、検証機、データセンターやクラウド事業者で利用する専有Macも含めて確認する必要があります。特に、長期間固定運用されている端末は、画面共有の有効化やポート公開が資産台帳に反映されていない可能性があります。

優先すべき対応は次のとおりです。

• macOS端末の資産一覧を作成し、Sonoma、Sequoia、Tahoeのバージョンと修正適用状況を確認する
• Screen SharingおよびRemote Managementの有効化状況をMDMなどで確認する
• 外部公開資産のスキャン結果、ファイアウォール、NAT、クラウド設定からポート5900の公開有無を確認する
• 未更新かつ外部公開されていた端末はネットワークから隔離し、root権限での不審な変更、永続化設定、未知のプロセス、暗号資産マイニング関連通信を調査する
• Endpoint Securityのログを取得している場合は、Huntressが示したScreen Sharing接続イベントやrootセッションを調査対象にする
• 更新後も、侵害の痕跡がないことを確認するまで業務ネットワークへ戻さない

高いCPU使用率や端末の発熱は暗号資産マイナーの兆候になり得ますが、それだけで侵害を断定することはできません。プロセス、ファイル、永続化設定、通信、認証・画面共有ログを組み合わせて判断する必要があります。

今回確認されたペイロードはMoneroマイナーですが、rootアクセスが取得された端末では、認証情報や業務データへのアクセス、別のマルウェア設置など、より広い影響を想定した調査が必要です。ただし、NCSC-NLは情報窃取や他のペイロードを確認したとは公表していません。確認済みの事実と、調査上考慮すべき可能性を分けて扱うことが重要です。

出典

• Security Advisory NCSC-2026-0280 – Netherlands National Cyber Security Centre
• About the security content of macOS Tahoe 26.6.1 – Apple
• About the security content of macOS Sequoia 15.7.9 – Apple
• About the security content of macOS Sonoma 14.8.9 – Apple
• Turn Mac screen sharing on or off – Apple
• TCP and UDP port reference in Remote Desktop – Apple
• CVE-2026-65400 Detail – NVD
• JVNDB-2026-027625 アップルのmacOSにおける認証に関する脆弱性 – JVN iPedia
• From Screen Share to Root Access: Breaking Down CVE-2026-43760 and CVE-2026-65400 on macOS – Huntress
• Known Exploited Vulnerabilities Catalog official data mirror – CISA
• Microsoft、Azure・Entra・Teams関連にCVSS最大値10.0を含む脆弱性を修正　AppleもmacOS画面共有の認証回避に対応 – セキュリティ対策Lab

関連記事

ミネソタ州の水道施設30か所超が同時にサイバー攻撃-OTシステムを標的にした協調攻撃 シーイーシー、データセンターサービス障害はランサムウェア攻撃と確認　個人情報保護委員会へ報告 百度（バイドゥ）がDeepSeek 検索を開始、WeChatでもテスト中 月間110万ダウンロードのPyPI パッケージ「elementary-data」が改ざん-機密情報漏洩の恐れ コクヨ、役員・従業員を装うSlack 偽招待メールを確認、参加後に口座情報を要求 Windowsの正規機能「Bind Link」を悪用しEDRを無力化する新手法-AppLocker・Sysmon・Mimikatz検知も回避可能に IIJ、不正アクセスによるサイバー攻撃で最大400万件超のメールアカウントの情報が漏洩か PostgreSQLのpsqlで重大度の高い脆弱性(CVE-2025-1094) PHPのLivewireで108万件利用されているライブラリ Voltで脆弱性(CVE-2025-27517)

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)