8月14日、Ars Technicaが「Vulnerability giving attackers full control of Macs is under active exploitation」と題した記事を公開した。macOSのスクリーン共有機能に存在するCVSSスコア7.1（High）の脆弱性 CVE-2026-65400 が、実際の攻撃に悪用されているという内容だ。
Appleはすでにパッチを提供済みだが、未更新のMacが標的となり、Monero（モネロ）採掘用のクリプトマイナーを仕込まれる被害が実際に確認されている。Macユーザーは早急な対応が求められる状況だ。
ポート5900が開いているMacが標的に
オランダの国家サイバーセキュリティセンター（NCSC）は今週、CVE-2026-65400が実際の攻撃に悪用されているとして警告を発した。
NCSCの報告によれば、インターネットからポート5900にアクセス可能な複数のシステムで悪用が確認されている。ポート5900はmacOSのスクリーン共有機能（VNC）が使用するデフォルトポートだ。攻撃を受けたシステムでは、いずれもrootアクセスが取得され、クリプトマイナーが設置されていた。採掘対象として選ばれたMoneroは、追跡困難な匿名性の高い仮想通貨であり、不正採掘マルウェアで頻繁に使われることで知られる。
脆弱性の根本原因
CVE-2026-65400の原因は、macOSのスクリーン共有機能における「状態管理（state management）」のバグだ。状態管理とは、直前のイベントやユーザー操作、変数といったシステムの状態を追跡する仕組みを指す。この部分に欠陥があり、認証情報を持たない攻撃者がリモートからMacへアクセスできる状態になっていた。
脆弱性の技術的な詳細は、発見した研究者によるブログ記事「No Country for Old Passwords」にまとめられている。
パッチ公開直後のエクスプロイト公開が悪用を加速
今回の被害拡大には、脆弱性情報の公開タイミングが大きく影響している。経緯を整理すると次のとおりだ。
- Appleが先週、macOS Tahoe（2026年リリースの最新メジャーバージョン）・Sequoia・Sonoma 向けのパッチを提供（各リリースノート：Tahoe、Sequoia、Sonoma）
- ほぼ同時期に開催されたBlack Hatセキュリティカンファレンスで、脆弱性の技術的詳細とエクスプロイトの動作映像が公開された
- それを受けて攻撃者が実際の悪用を開始した
パッチ公開と同時期に技術詳細が公表されることで悪用が加速するというパターンは、近年のセキュリティインシデントで繰り返し見られる構図だ。パッチ適用が完了していないシステムが、この「ウィンドウ」を狙われやすい。
Appleの表現に見る「お決まりの留保」
Appleは今回の脆弱性について、認証なしの攻撃者がMacにアクセスできる「可能性がある（may）」と表現した。NCSCが実際の被害を確認しているにもかかわらず断定を避けた形だが、記事では「ほとんどのテックベンダーが脆弱性開示時に表現を和らげるのは一般的な慣行だ」と指摘している。
今すぐ確認すべき対処方法
確認すべき点は2つだ。
- macOSを最新版にアップデートする（パッチは先週提供済み）
- スクリーン共有機能を使用しない場合は無効化する。システム設定→一般→共有から「スクリーン共有」をオフにすることで、ポート5900への外部アクセスを遮断できる
スクリーン共有をビジネス用途などで有効にしている環境では、ファイアウォールでポート5900への外部アクセスを制限することも有効な対策だ。
詳細はVulnerability giving attackers full control of Macs is under active exploitationを参照していただきたい。
