macOS Screen Sharing: Lücke wird aktiv ausgenutzt

macOS Screen Sharing steht im Visier: Die Lücke CVE-2026-65400 wird laut NCSC-NL ausgenutzt, Angreifer setzen einen Krypto-Miner ab. Was jetzt zu tun ist.

macOS Screen Sharing ist eigentlich ein Komfort-Feature: Bildschirm freigeben, aus der Ferne helfen, fertig. Seit vergangener Woche ist daraus ein handfestes Sicherheitsproblem geworden. Die Anfang August gepatchte Lücke CVE-2026-65400 wird laut dem niederländischen NCSC angegriffen – und zwar dort, wo der Dienst offen im Internet steht.

Was beim macOS Screen Sharing passiert ist

Apple hatte die Schwachstelle am 6. August 2026 mit einem außerplanmäßigen Update geschlossen: in macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 und macOS Sonoma 14.8.9. Technisch handelt es sich um einen Authentifizierungsfehler im Zustandsmanagement. Vereinfacht gesagt: Der Dienst verlor bei bestimmten Abläufen den Überblick darüber, ob die Anmeldung tatsächlich erfolgreich war. Wer den Dienst über das Netz erreicht, konnte sich deshalb ohne Passwort anmelden. Nötig ist nur ein gültiger Kontoname – und der ist kein Geheimnis, macOS zeigt ihn im Anmeldefenster an.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

Am 12. August aktualisierte das NCSC-NL sein Advisory NCSC-2026-0280 und meldete zwei Dinge: Es existiert öffentlicher Proof-of-Concept-Code, und der Behörde liegt eine Meldung über tatsächlichen Missbrauch vor. In diesen gemeldeten Fällen war Port 5900 aus dem Internet erreichbar, die Angreifer erlangten Root-Rechte und installierten anschließend einen Monero-Miner. Verwundbar ist grundsätzlich aber jedes ungepatchte System mit aktiviertem Screen Sharing – auch im lokalen Netz.

Das ist die eigentliche Neuigkeit. Über den Patch selbst haben wir bereits im Rahmen der Sicherheitsupdates von Anfang August berichtet – damals war die Lücke geschlossen, aber ruhig. Das ist sie nun nicht mehr.

Wie kritisch ist die Lücke wirklich?

Hier lohnt der zweite Blick, denn die Quellen widersprechen sich: Das NCSC führt CVE-2026-65400 mit einem CVSS-v3-Wert von 7,1, in der NVD steht eine von der CISA-ADP eingetragene Bewertung von 9,8 (kritisch, Angriffsvektor Netzwerk, keine Rechte, keine Nutzerinteraktion) – hochgestuft am 14. August. Eine eigene NVD-Bewertung fehlt bislang. Das ist ein erheblicher Unterschied und ein gutes Beispiel dafür, warum ein CVSS-Score allein keine Priorisierung ersetzt.

Ebenfalls bemerkenswert: In der SSVC-Bewertung der CISA vom 14. August steht bei „exploitation” weiterhin none, gleichzeitig wurde „automatable” auf yes gesetzt. In den KEV-Katalog der CISA ist die Lücke bis heute nicht aufgenommen. Die Meldung über aktiven Missbrauch stammt also aus genau einer Quelle, dem NCSC-NL, und wurde von den Fachmedien weitergetragen. Zur Zahl der betroffenen Systeme, zum Zeitraum und zur Frage, ob über das Krypto-Mining hinaus etwas passiert ist, gibt es laut BleepingComputer bislang keine Angaben. Wer hier mehr behauptet, rät.

Der interessantere Teil steht nicht im Advisory

Bemerkenswert ist, was nebenher passiert ist. Nach Darstellung des Sicherheitsunternehmens Calif und des Forschers @osxreverser hat Apple bereits Ende Juli mit macOS 26.6 einen zweiten, noch mächtigeren Fehler im selben Screen-Sharing-Dienst geschlossen – einen Pre-Auth-Fehler, für den nicht einmal ein Kontoname nötig ist, sondern nur die IP-Adresse. Dieser Fehler bekam weder eine CVE-Nummer noch einen Eintrag im Sicherheitsdokument. Beide Fehler saßen laut Calif in derselben Quelldatei.

Calif gibt außerdem an, durch den Vergleich der gepatchten und der ungepatchten Programmdateien (Patch-Diffing) binnen rund vier Stunden – verteilt über ein Wochenende – funktionierende Exploits für beide Lücken gebaut zu haben. Technische Details hält die Firma bewusst zurück, bis mehr Systeme aktualisiert sind.

Was das für dich bedeutet

Aus CISO-Sicht ist das ein Lehrstück, und zwar weniger über Apple als über Exposition. Die Lücke ist nur deshalb zum Vorfall geworden, weil ein Fernwartungsdienst direkt am Internet hing. Genau dieses Muster sehe ich in kleinen Umgebungen immer wieder: ein Mac im Homeoffice oder in der Agentur, eine Portfreigabe im Router „nur kurz zum Testen” – und zwei Jahre später steht sie immer noch. Der Forscher @osxreverser berichtet von einem eigenen Scan mit rund 40.000 erreichbaren Screen-Sharing-Hosts, überwiegend Privatanschlüsse. Diese Zahl ist nicht unabhängig bestätigt und sagt nichts darüber aus, wie viele davon ungepatcht sind. Die Größenordnung passt allerdings zum Muster.

Der zweite Punkt betrifft das Tempo. Wenn ein Patch-Diff in einem Wochenende zum funktionierenden Root-Exploit führt und der stillschweigend gefixte Bruder-Bug gleich mitgeliefert wird, dann ist das Zeitfenster zwischen „Update erschienen” und „Exploit im Umlauf” keine Wochen mehr. Die alte Faustregel, mit dem Einspielen erst einmal abzuwarten, ist damit überholt. Und ein Krypto-Miner ist in diesem Szenario noch die harmlose Variante: Wer Root hat, könnte genauso gut Daten abziehen oder sich dauerhaft einnisten.

Das solltest du jetzt konkret tun

Updaten: macOS auf Tahoe 26.6.1, Sequoia 15.7.9 oder Sonoma 14.8.9 bringen. Das ist der eigentliche Fix.
Screen Sharing abschalten, wenn du es nicht brauchst: Systemeinstellungen → Allgemein → Freigabe → Bildschirmfreigabe aus. Wichtig: Auch die Fernverwaltung (Remote Management) aktiviert denselben Dienst auf Port 5900 – beide Schalter prüfen.
Port 5900 prüfen: Schau im Router nach, ob eine Portfreigabe oder eine UPnP-Regel existiert, und entferne sie. Fernzugriff gehört hinter VPN oder SSH, nie direkt ins offene Netz.
Bestand zählen: In einer Firma zuerst erheben, auf wie vielen Macs die Freigabe überhaupt aktiv ist. Erfahrungsgemäß sind es mehr, als man denkt.
Auf Spuren achten: Dauerhaft hohe CPU-Last, unbekannte LaunchDaemons oder ein verändertes /etc/sudoers.d/ sind generische Warnzeichen für eine Root-Kompromittierung. Berichtet wurde bislang nur der Miner.

Wer bei der Gelegenheit ohnehin am Router sitzt: In unserem Ratgeber zu Routern und Mesh-Systemen 2026 steht, worauf es bei Firmware-Pflege und Portfreigaben ankommt – der Router ist bei genau solchen Vorfällen die entscheidende Verteidigungslinie.

Quellen

Dranbleiben

Diese Analysen als Newsletter

Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.

Jetzt anmelden

macOS Screen Sharing: Lücke CVE-2026-65400 wird ausgenutzt