荷蘭國家網路安全中心（NCSC）近日發出警告，稱一個高危 macOS 漏洞正在被攻擊者積極利用，該漏洞允許攻擊者在目標系統上執行惡意代碼。
NCSC 在本周早些時候表示："已收到通知，顯示該漏洞已在多台可從網際網路訪問 5900 埠的系統上遭到主動濫用。在所有已確認案例中，攻擊者均獲取了受影響系統的 root 權限，並植入了門羅幣
（Monero）加密貨幣挖礦程序。"
該漏洞編號為 CVE-2026-65400，嚴重性評分為 7.1 分（滿分 10 分）。蘋果公司上周已針對 macOS Tahoe、Sequoia 和 Sonoma 系統發布了對應補丁。漏洞根源在於 macOS 螢幕共享功能中的"狀態管理"缺陷——螢幕共享功能允許遠程用戶在設備開機狀態下查看螢幕並控制鍵盤和滑鼠，而狀態管理負責追蹤先前事件、用戶交互、變量及其他系統狀態，該環節存在的漏洞為攻擊者提供了可乘之機。該漏洞的利用演示影片已在上周舉行的 Black Hat 安全大會上公開披露。蘋果公司表示，CVE-2026-65400 漏洞"可能"允許未經身份驗證的攻擊者訪問 Mac 系統，措辭相對保守，這在科技廠商披露漏洞時較為常見。
正如 NCSC 所指出的，該漏洞在 5900 埠暴露於網際網路時即可被利用。啟用螢幕共享功能後，macOS 防火牆會自動開放該埠。通常情況下，路由器和獨立防火牆會默認隱藏該埠，除非手動配置為開放狀態。安全專家普遍建議 Mac 用戶即便使用螢幕共享，也應保持該埠關閉，轉而通過 VPN 或 SSH 隧道方式進行連接。不過，這些替代方案對普通用戶而言存在一定操作門檻。
目前最安全的做法是：平時關閉螢幕共享功能，僅在需要時臨時開啟，使用結束後立即關閉。用戶可通過"系統設置 > 通用 > 共享"路徑，切換螢幕共享開關。此外，安裝上周發布的安全更新也是必不可少的步驟。
目前尚無跡象顯示攻擊者利用該漏洞安裝了門羅幣挖礦程序以外的惡意軟體。挖礦程序會秘密占用 Mac 的計算資源，為攻擊者進行加密貨幣挖礦運算。然而更大的潛在風險在於，攻擊者可能進一步利用該漏洞植入能夠竊取賬號憑據或實施其他更具破壞性惡意行為的惡意軟體，值得高度警惕。
Q&A
Q1：CVE-2026-65400 漏洞是怎麼被利用的？
A：攻擊者通過訪問開放在網際網路上的 5900 埠來利用該漏洞。當 macOS 的螢幕共享功能開啟時，系統防火牆會自動打開 5900 埠。漏洞存在於螢幕共享的狀態管理機制中，允許未經身份驗證的攻擊者獲取系統的 root 權限，目前已有多台系統被植入門羅幣挖礦程序。
Q2：如何防範 macOS 螢幕共享漏洞被利用？
A：首先，應立即安裝蘋果上周發布的安全補丁，該補丁適用於 macOS Tahoe、Sequoia 和 Sonoma 系統。其次，建議平時關閉螢幕共享功能，僅在需要時開啟，用完即關；同時避免將 5900 埠暴露在網際網路上，可通過 VPN 或 SSH 隧道替代螢幕共享直連方式，以降低風險。
Q3：CVE-2026-65400 漏洞目前造成了哪些危害？
A：目前已確認的危害是攻擊者在受感染的 Mac 上植入了門羅幣挖礦程序，秘密占用設備計算資源為攻擊者牟利。目前尚未發現被用於安裝其他類型惡意軟體的案例，但安全專家警告，該漏洞同樣可能被用於竊取賬號憑據或實施其他更具破壞性的惡意活動。
