Die US-Cybersicherheitsbehörde CISA hat am 14. August 2026 den Schweregrad einer Schwachstelle in der Bildschirmfreigabe von macOS-Systemen drastisch heraufgestuft. Die als CVE-2026-65400 registrierte Lücke wird nun mit einem CVSS-Score von 9.8 statt zuvor 7.1 bewertet. Damit gilt die Schwachstelle als kritisch. Die Behörde stuft das Risiko zudem als automatisierbar ein, was die Gefahr großflächiger Angriffe erhöht.
Aktive Ausnutzung und Installation von Krypto-Minern
Bereits am 12. August 2026 bestätigte das niederländische Nationale Cybersicherheitszentrum (NCSC-NL), dass die Schwachstelle in der Praxis aktiv ausgenutzt wird. Angreifer nutzen den Fehler aus, um sich unbefugt Root-Zugriff auf betroffene Systeme zu verschaffen. In den dokumentierten Fällen wurde diese tiefgreifende Systemkontrolle dazu verwendet, Schadsoftware für das Mining der Kryptowährung Monero zu installieren.
Besonders gefährdet sind Mac-Systeme, bei denen der Port 5900 für die Bildschirmfreigabe über das Internet erreichbar ist. Schätzungen des NCSC-NL zufolge sind derzeit etwa 40.000 Hosts weltweit über diesen offenen Port exponiert und somit potenziell angreifbar. Die Experten wiesen darauf hin, dass es sich bei CVE-2026-65400 um eine Zero-Day-Schwachstelle handelt, die eine vollständige Verwaltung von Root-Rechten ermöglicht.
Während kritische Sicherheitslücken in Betriebssystemen oft Schlagzeilen machen, bleiben gezielte Angriffe auf Firmendaten oft lange unbemerkt. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen, um ihre IT-Infrastruktur proaktiv abzusichern. Cyber Security Bedrohungen abwenden und Unternehmen schützen
Technischer Hintergrund und automatisierte Exploit-Entwicklung
Die Schwachstelle liegt in einer Umgehung des Authentifizierungsprozesses (Pre-Auth) im sogenannten SRP-Validator des Prozesses screensharingd. Identifiziert wurde dieser Fehler durch den Sicherheitsforscher Alfredo Pesoli, der auch unter dem Pseudonym @osxreverser bekannt ist. Laut weiteren Analysen des NCSC-NL stehen zudem die CVE-Nummern CVE-2026-43760, CVE-2026-43777 und CVE-2026-43779 in engem Zusammenhang mit dieser Sicherheitslücke.
Ein besorgniserregender Aspekt ist die Geschwindigkeit, mit der funktionierende Exploits für diese Lücke erstellt wurden. Das Unternehmen Calif.io veröffentlichte bereits am 8. August 2026 einen öffentlichen Proof-of-Concept-Code. Dieser wurde den Angaben zufolge innerhalb von nur vier Stunden nach der Veröffentlichung der ersten Sicherheitsupdates entwickelt.
Die zunehmende Automatisierung von Cyberangriffen erfordert von Firmen eine deutlich schnellere Reaktion auf neue Sicherheitsrisiken. In diesem kostenlosen E-Book erfahren Sie, wie Sie Sicherheitslücken effektiv schließen und gleichzeitig aktuelle gesetzliche Anforderungen ohne hohe Investitionen erfüllen. Gratis-E-Book für IT-Sicherheit im Unternehmen herunterladen
Das NCSC-NL berichtete am 12. August 2026 zudem, dass moderne KI-Tools die Entwicklung solcher Exploits massiv beschleunigt hätten und diese innerhalb weniger Stunden einsatzbereit waren.
Verfügbare Patches für betroffene macOS-Versionen
Apple hat auf die Bedrohung reagiert und bereits am 6. August 2026 Sicherheitsupdates zur Verfügung gestellt. Die Korrekturen sind in den Versionen macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9 enthalten.
Sicherheitsexperten raten Administratoren und privaten Nutzern dringend dazu, die installierten macOS-Versionen zu überprüfen und die bereitgestellten Patches umgehend einzuspielen. Sofern die Bildschirmfreigabe nicht zwingend erforderlich ist, sollte zudem die Erreichbarkeit des Ports 5900 über öffentliche Netzwerke eingeschränkt werden, um die Angriffsfläche zu minimieren.
Die Einstufung der CISA als automatisierbare Schwachstelle unterstreicht die Notwendigkeit eines schnellen Handelns, um die Installation unerwünschter Mining-Software oder den Verlust der Systemkontrolle zu verhindern.
