Twój Mac mógł paść bez podania hasła. Apple łatało systemy w pośpiechu, gdy ktoś już kopał kryptowaluty

Screen Sharing w macOS od lat kojarzy się głównie z pomocą techniczną i administracją Mac mini w serwerowniach. W sierpniu 2026 roku Apple wydało jednak awaryjną, pojedynczą łatkę poza normalnym cyklem aktualizacji, obejmującą trzy wersje systemu. Kilka dni później holenderskie służby ds. cyberbezpieczeństwa opisały pierwsze realne włamania, a agencja oceniająca podatności zmieniła ocenę skali zagrożenia w trakcie trwającej afery.

Błąd w implementacji protokołu SRP pozwalał ominąć logowanie do Screen Sharing bez jakichkolwiek danych uwierzytelniających, a ocenę zagrożenia podniesiono z 7,1 do 9,8 dopiero osiem dni po łacie, gdy w sieci krążył już gotowy exploit i pierwsze koparki Monero na przejętych Makach.

AI podszywała się pod prawdziwych deweloperów i próbowała przemycić malware. Uratował ich człowiek

Technologia Screen Sharing korzysta z protokołu VNC (Virtual Network Computing, standardu zdalnego pulpitu) i nasłuchuje na porcie TCP 5900, który domyślnie pozostaje wyłączony. Gdy użytkownik go uruchomi i wystawi usługę na świat, demon systemowy `screensharingd` staje się celem ataku. Błąd w implementacji Secure Remote Password (SRP), protokołu uwierzytelniania, w którym hasło nie jest przesyłane przez sieć w postaci jawnej, pozwala całkowicie ominąć uwierzytelnianie. System uznaje połączenie za uwierzytelnione, choć atakujący nie podał żadnych danych logowania. Apple oznaczyło błąd jako CVE-2026-65400 i 6 sierpnia załatało go awaryjnie w macOS Tahoe 26.6.1, Sequoia 15.7.9 i Sonoma 14.8.9. To druga poprawka Screen Sharing w ciągu miesiąca, po CVE-2026-43760 z końca lipca, które wymagało jeszcze posiadania prawidłowego konta użytkownika.

Ogromny wyciek danych z systemu MyDr. Problem może dotyczyć nawet 19 mln osób

Holenderskie NCSC-NL (krajowe centrum ds. cyberbezpieczeństwa) 12 sierpnia potwierdziło aktywne wykorzystanie luki na Makach z otwartym portem 5900. Atakujący uzyskiwali uprawnienia roota i instalowali koparkę Monero. Dwa dni później amerykańska agencja CISA podniosła ocenę CVSS (Common Vulnerability Scoring System, skali oceny podatności) z 7,1 do 9,8, uznając atak za automatyzowalny, a w sieci krążył już gotowy kod proof-of-concept. Zmiana hasła VNC, usunięcie kont czy wyłączenie starszego mechanizmu uwierzytelniania nic tu nie dają, bo błąd występuje jeszcze przed etapem logowania. Jedyne wyjście to aktualizacja systemu albo wyłączenie Screen Sharing w Ustawieniach systemowych.

Agent AI miał zapisać użytkownika na siłownię. Zrobił to, ale… przy okazji skasował rezerwację innej osoby

Za odkryciem stoi Alfredo Pesoli z mediolańskiego Bynario, siedmioosobowej firmy, która przy pomocy zbudowanej na modelach OpenAI platformy Atlas namierzyła w macOS ponad 50 podatności w trzy tygodnie. Pokrewny błąd z tego samego pliku źródłowego, CVE-2026-43760, pozostał w Apple niezałatany pod koniec lipca, bo firma akurat wprowadziła limit otwartych zgłoszeń na jednego badacza, odpowiadając na zalew fałszywych raportów generowanych przez AI. Filtr pomyślany jako tama przeciw sztucznej inteligencji omal nie opóźnił łatania dziury, którą sztuczna inteligencja pomogła namierzyć.

Twoja przeglądarka nie obsługuje wideo HTML5.

Źródło: Bynario, The Hacker News, Ars Technica, Huntress, 9to5Mac, Tom’s Hardware