In der Screen-Sharing-Funktion des Betriebssystems macOS wurde eine kritische Schwachstelle identifiziert, die bereits aktiv für Cyberangriffe ausgenutzt wird. Die als CVE-2026-65400 geführte Sicherheitslücke erlaubt es nicht authentifizierten Angreifern, aus der Ferne Code auszuführen und dabei weitreichende Root-Rechte auf betroffenen Systemen zu erlangen. Berichten zufolge erfolgt die Ausnutzung gezielt über den Port 5900.
Eskalation der Bedrohungslage und automatisierte Angriffe
Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat die Dringlichkeit der Situation untermauert, indem sie die Bewertung der Schwachstelle deutlich verschärfte. Der sogenannte CVSS-Score, der das Risikopotenzial beschreibt, wurde Mitte August von ursprünglich 7,1 auf 9,8 Punkte angehoben. Damit wird die Lücke als kritisch eingestuft.
Zudem stufte die CISA die Schwachstelle als automatisierbar ein, was die Gefahr großflächiger, skriptgesteuerter Angriffe erhöht. Obwohl bereits Berichte über aktive Ausnutzungen vorliegen, wurde die Schwachstelle bisher noch nicht in den offiziellen KEV-Katalog (Known Exploited Vulnerabilities) der Behörde aufgenommen.
Sicherheitsforscher konnten die Brisanz der Lage demonstrieren, indem sie den Exploit für CVE-2026-65400 innerhalb von etwa vier Stunden rekonstruierten. Dabei kam nach Angaben von Branchenexperten auch künstliche Intelligenz zum Einsatz, um die Entwicklung des Angriffscodes zu beschleunigen. Entdeckt wurde die Schwachstelle ursprünglich von dem Sicherheitsforscher Alfredo Pesoli.
Missbrauch für Kryptomining und betroffene Systeme
Konkrete Hinweise auf eine kriminelle Nutzung der Schwachstelle lieferte bereits das niederländische National Cyber Security Centre (NCSC-NL). In der ersten Augusthälfte meldete die Behörde Beobachtungen, wonach Angreifer über den Port 5900 Root-Zugriff auf macOS-Systeme erlangten, um anschließend unerlaubt Software für das Mining der Kryptowährung Monero zu installieren. Aktuelle Analysen zeigen, dass weltweit etwa 40.000 Hosts über einen offenen Port 5900 im Internet exponiert und somit potenziell gefährdet sind.
Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Kostenlosen Cyber Security Report jetzt anfordern
Neben der Hauptschwachstelle CVE-2026-65400 identifizierten Experten im Umfeld der Screen-Sharing-Dienste weitere verwandte Sicherheitslücken. Dazu gehören CVE-2026-43760 mit einem CVSS-Wert von 8,6 sowie CVE-2026-43777 und CVE-2026-43779, die beide ebenfalls mit dem Höchstwert von 9,8 bewertet wurden.
Apple veröffentlicht Sicherheits-Patches
Apple hat auf die Bedrohung reagiert und bereits Anfang August entsprechende Sicherheitsupdates bereitgestellt. Die Patches für CVE-2026-65400 sind in den Versionen macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 und macOS Sonoma 14.8.9 enthalten.
Wer sich mit der Abwehr aktueller digitaler Bedrohungen und neuen gesetzlichen Anforderungen befasst, findet in diesem E-Book wertvolle Unterstützung. Der kostenlose Report klärt auf, welche rechtlichen Pflichten und Risiken für die IT-Sicherheit jetzt bekannt sein müssen. Gratis-E-Book zur Cyber Security herunterladen
Sicherheitsexperten raten dringend dazu, diese Aktualisierungen zeitnah zu installieren. Sollte ein Einspielen der Patches kurzfristig nicht möglich sein, lautet die dringende Empfehlung, die Screen-Sharing-Funktion in den Systemeinstellungen vollständig zu deaktivieren, um den Angriffsvektor über Port 5900 zu schließen.
Angesichts der nachgewiesenen aktiven Ausnutzung und der hohen Automatisierbarkeit der Angriffe besteht für ungepatchte Systeme ein unmittelbares Risiko.
