Cuarenta mil Macs con Screen Sharing colgando de internet, un parche de emergencia que Apple soltó fuera de ciclo el 6 de agosto, y un equipo de investigadores que lo revirtió y tuvo exploit funcional cuatro horas después. Hoy el NCSC de Países Bajos confirmó lo que faltaba en esa ecuación: alguien ya está entrando, y se lleva root.
Qué pasó
El Centro Nacional de Ciberseguridad neerlandés (NCSC-NL) actualizó su advisory NCSC-2026-0280 para reportar explotación activa de CVE-2026-65400 (CVSS 9.8), un bypass de autenticación en el componente Screen Sharing de macOS. La descripción del ataque es incómodamente simple: sistemas con el puerto TCP 5900 expuesto a internet, acceso obtenido sin credenciales válidas, root en la máquina y un minero de Monero plantado encima.
"El NCSC ha recibido una notificación que indica que se ha observado abuso activo de esta vulnerabilidad en múltiples sistemas en los que el puerto 5900 era accesible desde internet. En todos estos casos se había obtenido root en el sistema afectado y se había colocado un minero de criptomonedas Monero." — NCSC-NL, actualización del advisory NCSC-2026-0280
La agencia no dio fechas de inicio, escala, ni si el bug se usó como zero-day. Pero el contexto que rodea a este CVE es lo que convierte una nota de cryptojacking en una historia de la que un SE debería tomar nota.
Por qué importa
Screen Sharing es el VNC nativo de macOS. Es la clase de servicio que se enciende una vez —para administrar un Mac mini en un rack, para dar soporte a una laptop en otro edificio— y nunca más se piensa. El investigador que destapó todo esto, conocido como @osxreverser, escaneó internet y encontró alrededor de 40,000 hosts con Screen Sharing alcanzable: casi la mitad en Estados Unidos, mayoría IPs residenciales, pero con universidades, empresas y servidores de proveedores de software en la lista.
Y el detalle que importa: screensharingd, el demonio que atiende esas conexiones, corre como root. No es un bug que te da la sesión de un usuario. Te da la máquina completa. Según el análisis de Calif, es el primer exploit público de remote root en macOS en mucho tiempo.
Para quien administra flota Mac en una empresa mexicana, la pregunta operativa es una sola: ¿cuántos de tus equipos tienen esto prendido? La recomendación de Calif es literal: "ve a revisar cuántas de tus máquinas lo tienen habilitado. Nuestra apuesta es que el número te va a sorprender, porque a nosotros nos sorprendió."
El detalle técnico
Aquí es donde la historia se vuelve interesante, porque no hubo una vulnerabilidad: hubo dos pre-auth remote root independientes viviendo en el mismo archivo de código fuente.
Bug uno (sin CVE hasta hoy). @osxreverser lo encontró por su cuenta y decidió no reportarlo a Apple, según él mismo por su "largo historial" con la compañía. Técnicamente es un solo return equivocado: un chequeo de longitud aborta temprano al recibir un frame sobredimensionado y devuelve un valor que resulta ser el código de éxito de la lectura inmediatamente anterior. El llamador interpreta eso como "este paso de autenticación pasó" y avanza la máquina de estados. No necesita ni nombre de usuario. Apple lo mató silenciosamente en macOS 26.6 el 27 de julio, mientras parchaba tres bugs menos severos que sí le habían reportado. El advisory de julio nunca dijo que ahí había un pre-auth remote root.
Bug dos (CVE-2026-65400). Es el que Apple parchó de emergencia el 6 de agosto. No es un stale return sino un desincronizado de máquina de estados. Lo único que pide de más respecto al primero es nombrar una cuenta existente — barrera decorativa, considerando que macOS imprime los usuarios en la pantalla de login. Y estaba ahí desde 26.5.2, sentado junto al primero todo el tiempo.
Ninguno de los dos requiere heap grooming, derrotar ASLR, ganar una carrera ni provocar un crash. Son bugs de lógica pura:
"Manda uno o dos paquetes en el orden correcto y la Mac objetivo te deja entrar. Funciona la primera vez y funciona todas las veces, en cada máquina sin parchar que tenga Screen Sharing habilitado." — Calif, "No Country for Old Passwords"
Hay una tercera capa. CVE-2026-43760 (8.6), el bug post-auth de Alfredo Pesoli de Bynario, convierte una operación de copia de archivos en lectura de archivos protegidos como root, creación arbitraria de archivos como root y, encadenado, ejecución remota de comandos: Pesoli lo usó para instalar una política válida en sudoers. En sus palabras: "después del paso de autenticación VNC, cruzamos una frontera que la contraseña nunca debió cruzar."
La línea de tiempo
| Fecha | Evento | |---|---| | Antes del 27 jul | Pesoli (Bynario) y otros reportan tres bugs de Screen Sharing a Apple | | 27 jul | macOS 26.6 corrige esos tres y mata el pre-auth de @osxreverser sin decirlo | | 29 jul | Bynario publica su writeup de CVE-2026-43760, hallado con un workflow automatizado sobre GPT-5.5. El mismo día @osxreverser publica "It's a pre-auth, stupid!" con PoC ofuscado | | Principios ago | @bl4sty publica el writeup completo del primer bug, hecho con IA | | 6 ago | Apple libera 26.6.1 / 15.7.9 / 14.8.9 fuera de banda: CVE-2026-65400 | | 8 ago | Calif diffea los binarios y tiene exploit funcional en ~4 horas; luego repite con el primer bug | | 14-17 ago | NCSC-NL confirma explotación activa: root + minero de Monero |
El ángulo que nadie debería pasar por alto
Lee otra vez la línea de tiempo con lentes de industria, no de Apple. Bynario encontró su bug con GPT-5.5. Dos de los créditos del advisory de julio son sistemas automatizados: el discovery engine de Atuin y el equipo XlabAI de Tencent Xuanwu. bl4sty documentó el bug ajeno con IA. Calif reconstruyó dos exploits de remote root a partir del parche en cuatro horas de fin de semana.
Todos en esta historia excepto @osxreverser estaban corriendo un modelo.
Eso reordena una suposición que todavía sostiene muchos programas de patching: que entre que sale el parche y sale el exploit hay semanas de colchón. El diff binario dirigido —advisory que nombra el subsistema, update pequeño por construcción, modelo asistiendo el reversing— reduce esa ventana a horas. Y aplica en las dos direcciones: la IA está encontrando bugs nuevos más rápido, y está recuperando bugs viejos desde los parches igual de rápido.
Si tu ciclo de patching asume una semana de gracia después de un advisory de Apple, Microsoft o Broadcom, ese supuesto ya está vencido.
Qué hacer
- Parcha ya: macOS Tahoe 26.6.1, Sequoia 15.7.9 o Sonoma 14.8.9. No es opcional: hay explotación confirmada.
- Apaga Screen Sharing si no lo necesitas: System Settings → General → Sharing → Screen Sharing. Es la mitigación más limpia.
- Si lo necesitas, no lo expongas: detrás de VPN, ZTNA o regla de firewall. Nunca 5900 abierto a internet.
- Barre tu superficie: escanea tu rango público buscando 5900 abierto (
nmap -p 5900 --open), y revisa el inventario interno de flota Mac. Los Mac mini en racks y los equipos de labs son los sospechosos habituales. - Busca compromiso, no solo exposición: en equipos que estuvieron expuestos revisa procesos con consumo anómalo de CPU,
LaunchDaemonsyLaunchAgentsnuevos, cambios en/etc/sudoersy/etc/sudoers.d/, y conexiones salientes a pools de minería. El payload observado es un minero de Monero, pero root es root: asume que pudo haber más. - Detección de red: alerta sobre tráfico VNC hacia y desde equipos macOS que no deberían tenerlo, y bloquea 5900 en el perímetro por default.
Un minero de Monero es el mejor escenario posible para un pre-auth remote root en 40,000 máquinas. No cuentes con que el siguiente actor tenga las mismas ambiciones.
Fuentes
- Apple macOS Screen Sharing Flaw Exploited on Internet-Exposed Macs to Install Monero Miner — The Hacker News
- Hackers exploit macOS Screen Sharing flaw to deploy Monero miner — BleepingComputer
- No Country for Old Passwords: Two pre-auth macOS remote root exploits in four hours — Calif
- Advisory NCSC-2026-0280 — NCSC Países Bajos
- About the security content of macOS Tahoe 26.6.1 — Apple
- A root remote command execution on macOS — Bynario