Übernahme auf Port 5900: Kritische MacOS-Lücke wird aktiv ausgenutzt

Eine kritische Sicherheitslücke in MacOS wird aktuell aktiv von Angreifern ausgenutzt. Das niederländische National Cyber Security Centre (NCSC) warnt vor dem Problem, durch das bereits mehrere Apple-Rechner nachweislich kompromittiert wurden.

Patch ist schon verfügbar

Die betroffenen Geräte haben gemeinsam, dass der Netzwerk-Port 5900 aus dem Internet erreichbar war, hieß es. In den bislang bekannten Fällen verschafften sich die Angreifer Root-Rechte und installierten anschließend einen Monero-Miner.

Die Schwachstelle trägt die Bezeichnung CVE-2026-65400 und steckt in der Bildschirmfreigabe des MacOS-Betriebssystems. Apple hat die Lücke in der vergangenen Woche mit Sicherheitsupdates für MacOS Tahoe, Sequoia und Sonoma geschlossen. Der Bug wird mit einem CVSS-Wert von 7,1 von 10 als schwerwiegend eingestuft.


Die Grundlage des Problems ist ein Fehler bei der Verwaltung des Systemzustands. Diese Funktion verfolgt unter anderem vorherige Ereignisse, Benutzeraktionen und andere Zustände des Betriebssystems. Besonders gefährlich wird die Schwachstelle, wenn die Bildschirmfreigabe aktiviert und Port 5900 direkt aus dem Internet erreichbar ist. Über die Funktion kann ein entfernter Benutzer den Bildschirm eines Macs betrachten und Tastatur sowie Maus steuern.

Laut dem NCSC wurden genau solche Systeme bereits erfolgreich angegriffen. Einzelheiten zur Schwachstelle wurden in der vergangenen Woche auf der Sicherheitskonferenz Black Hat öffentlich. Apple hatte bei der Veröffentlichung des Updates erklärt, ein Angreifer könne möglicherweise auch ohne Zugangsdaten auf einen Mac zugreifen.

Bisher "nur" Mining

Für Nutzer empfiehlt sich daher aktuell nicht nur die umgehende Installation des aktuellen MacOS-Sicherheitsupdates. Wer die Bildschirmfreigabe nicht benötigt, sollte sie grundsätzlich deaktivieren. Die entsprechende Einstellung findet sich unter "Systemeinstellungen > Allgemein > Teilen". Wird die Funktion nur gelegentlich benötigt, sollte sie nach einer Sitzung wieder abgeschaltet werden.

Port 5900 sollte zudem möglichst nicht direkt aus dem Internet erreichbar sein. Fachleute empfehlen stattdessen eine Verbindung über ein VPN oder einen SSH-Tunnel, was allerdings für weniger erfahrene Anwender komplizierter ist. Bislang wurden die kompromittierten Macs offenbar ausschließlich zum Schürfen der Kryptowährung Monero missbraucht. Die größere Gefahr besteht jedoch darin, dass Angreifer die Lücke für andere Zwecke einsetzen könnten, etwa um Schadsoftware zur Entwendung von Zugangsdaten auf betroffenen Systemen zu installieren.


Siehe auch: