macOS’teki Ekran Paylaşma açığı aktif saldırılarda kullanılıyor
Apple’ın bu ayın başında macOS için kapattığı Ekran Paylaşma güvenlik açığının aktif saldırılarda kullanıldığı ortaya çıktı. Hollanda Ulusal Siber Güvenlik Merkezi (NCSC-NL), internet üzerinden erişilebilen birden fazla Mac’te açığın istismar edildiğini ve saldırganların root yetkisi elde ederek Monero kripto para madencisi kurduğunu açıkladı.
CVE-2026-65400 olarak takip edilen açık, macOS’in Ekran Paylaşma özelliğindeki bir kimlik doğrulama sorunundan kaynaklanıyor. Apple’a göre ağdaki bir saldırgan, geçerli kullanıcı bilgilerine sahip olmadan Ekran Paylaşma için kimlik doğrulamasından geçebiliyor. Güvenlik araştırmacısı Alfredo Pesoli tarafından Bynario Atlas aracılığıyla bildirilen sorun, durum yönetiminin iyileştirilmesiyle giderildi.
Apple, açığı macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 ve macOS Sonoma 14.8.9 güncellemeleriyle kapatmıştı. Apple o sırada güvenlik notunda açığın aktif saldırılarda kullanıldığına dair herhangi bir bilgi paylaşmamıştı.
İnternete açık 5900 numaralı port hedef alınıyor
NCSC-NL’ye ulaşan saldırı bildirimlerinde ortak nokta, Ekran Paylaşma tarafından kullanılan 5900 numaralı portun internet üzerinden erişilebilir olması. Kurum, incelenen tüm vakalarda saldırganların etkilenen Mac’lerde root erişimi elde ettiğini ve ardından Monero madencilik yazılımı yerleştirdiğini söylüyor.
Ekran Paylaşma etkinleştirildiğinde macOS güvenlik duvarı bu bağlantıya izin verebiliyor. Ancak bu durum özelliğin açık olduğu her Mac’in doğrudan internetten erişilebilir olduğu anlamına gelmiyor; ağ ve yönlendirici yapılandırmasının da 5900 numaralı porta dışarıdan erişime izin vermesi gerekiyor.
Apple’ın güvenlik güncellemesini henüz yüklemeyen kullanıcıların Sistem Ayarları > Genel > Yazılım Güncelleme bölümünden Mac’lerini güncellemeleri gerekiyor. Ekran Paylaşma kullanılmıyorsa Sistem Ayarları > Genel > Paylaşım bölümünden özelliğin kapalı tutulması da bu saldırı yöntemine karşı riski ortadan kaldırıyor.