Une faille du partage d'écran permet de prendre le contrôle des Mac à distance

Un attaquant distant peut s’authentifier sans identifiants valides sur un Mac et en obtenir un accès root, en exploitant une vulnérabilité de la fonction de partage d’écran de macOS. Le Centre national de cybersécurité néerlandais a recensé une exploitation active, avec pose d’un mineur de cryptomonnaies sur les systèmes touchés. Apple a corrigé la faille au début du mois.

Des chercheurs du laboratoire Olivetti & Oracle, à Cambridge, ont conçu le protocole VNC (Virtual Network Computing) en 1998, pour piloter un ordinateur à distance comme si on était devant l’écran. Apple a repris ce protocole pour bâtir le partage d’écran de macOS, avec une couche d’authentification supplémentaire, SRP, pour Secure Remote Password. Le chercheur Pedro Vilaça, alias fG!, a repéré fin juillet une brèche dans cette couche.

Côté Mac, le service screensharingd est chargé de vérifier les identifiants d’une connexion entrante. Dans ce service, la connexion passe pour valide avant la vérification effective du mot de passe. Un attaquant présent sur le réseau ouvre alors une session sous n’importe quel compte, sans authentification réelle. MacOS Sequoia, Sonoma et Tahoe sont vulnérables, sous la référence CVE-2026-65400.

Un premier correctif d’Apple, puis un accès sans mot de passe

Ce service avait cédé une première fois, sous une forme moins sévère. Le 27 juillet, Apple a corrigé une autre faille, référencée CVE-2026-43760 et signalée par le chercheur Alfredo Pesoli via sa plateforme Bynario Atlas, avec les versions macOS Tahoe 26.6, Sequoia 15.7.8 et Sonoma 14.8.8. Pour l’exploiter, un attaquant devait avoir au préalable un accès VNC authentifié, afin de lire ou modifier des fichiers avec les droits root, via une confusion dans le traitement des sessions du service screensharingd.

Le 29 juillet, Pedro Vilaça a mis en ligne une preuve de concept binaire, en lecture seule, pour un second bogue bien plus radical, un contournement complet de l’authentification exploitable sans le moindre identifiant. Début août, un autre chercheur, bl4sty, a reproduit le mécanisme et a obtenu une exécution de code à distance complète. Pour l’obtenir, il avait désactivé au préalable le SIP, la protection interne de macOS contre la modification des fichiers système, sur la machine testée.

En réponse, Apple a livré un correctif complet le 6 août, sous les versions macOS Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9, sans phase de test bêta préalable. Selon les notes de sécurité de l’entreprise, un attaquant sur le réseau peut potentiellement s’authentifier auprès de Screen Sharing sans identifiants valides.

Les attaquants ont obtenu un accès root et installé un mineur de Monero

Le Centre national de cybersécurité néerlandais a publié un avis le 12 août, dans lequel il confirme une exploitation active de la faille, avec un score de gravité de 7,1 sur une échelle CVSS de 1 à 10. L’agence a ensuite mis à jour ce document pour signaler la disponibilité d’un code d’exploitation public et recenser plusieurs compromissions, sur des Mac dont le partage d’écran était accessible depuis Internet.

Ces machines exposent le port 5900, utilisé par le protocole VNC, directement sur le réseau public. Dans les cas recensés par le NCSC, un attaquant a scanné ce port sans autorisation, puis a établi une connexion sans identifiant et obtenu un accès avec les droits root. Sur chacun de ces systèmes, il a ensuite installé un mineur de cryptomonnaie Monero, avant d’actionner une fonction système, SSFileCopySender, associée à une autorisation interne, kTCCServiceSystemPolicyAllFiles. Grâce à cette autorisation, l’attaquant a accédé à l’ensemble des fichiers du Mac et a contourné le TCC, le mécanisme par lequel macOS demande normalement le consentement de l’utilisateur avant qu’une application obtienne l’accès aux données personnelles. Pour garder un accès persistant après un redémarrage, il a mis en place un processus système lancé automatiquement au démarrage, ou a modifié les scripts de lancement du shell.

L'’agence recommande la mise à jour immédiate vers macOS Tahoe 26.6.1, Sequoia 15.7.9 ou Sonoma 14.8.9, et conseille de désactiver le partage d'écran sur les machines sans usage réel de cette fonction, ou de le limiter à un réseau local protégé par pare-feu.