Cảnh Báo Lỗ Hổng Bảo Mật Trên macOS: Nguy Cơ Nguy Hiểm Đối Với Người Dùng

Cơ quan An ninh mạng Quốc gia Hà Lan (NCSC-NL) đã đưa ra cảnh báo về một lỗ hổng nghiêm trọng trong tính năng Chia sẻ Màn hình (Screen Sharing) trên hệ điều hành macOS. Tin tặc lợi dụng lỗ hổng này để chiếm quyền quản trị hệ thống, từ đó cài đặt phần mềm khai thác tiền ảo Monero lên thiết bị của người dùng. Lỗ hổng này được mã hóa bằng CVE-2026-65400 và đã được Apple khắc phục từ ngày 6 tháng 8.

Vấn đề bắt nguồn từ việc cách mà tính năng Chia sẻ Màn hình xử lý xác thực người dùng. Một lỗi trong quản lý phiên đăng nhập cho phép các đối tượng không có quyền truy cập hợp lệ kết nối vào Chia sẻ Màn hình thông qua cổng 5900 mà không cần mật khẩu. Chỉ cần thiết lập tính năng này và cổng 5900 bị công khai trên internet, người dùng dễ dàng trở thành mục tiêu tấn công, thường do chính họ tự cấu hình chuyển tiếp cổng trên router để truy cập máy từ xa.

Mức độ nghiêm trọng được đánh giá lại

Apple đã phát hành bản vá cho lỗ hổng CVE-2026-65400 trong các phiên bản macOS Tahoe 26.6.1, Sequoia 15.7.9 và Sonoma 14.8.9, với thông tin mô tả ngắn gọn là đã cải thiện việc quản lý trạng thái. Alfredo Pesoli, một nhà nghiên cứu trong nhóm Bynario, là người phát hiện và thông báo cho Apple về lỗ hổng này.

Ban đầu, lỗ hổng này chỉ được chấm điểm CVSS 7.1, mức cao nhưng không phải là nghiêm trọng nhất. Tuy nhiên, sau khi CISA (Cơ quan An ninh mạng Mỹ) điều chỉnh điểm số lên 9.8 vào ngày 14 tháng 8, lỗ hổng đã được phân loại lại từ việc cần quyền hạn nhất định đến không cần quyền hạn nào để khai thác, đồng thời dễ dàng thực hiện hơn thông qua tự động hóa. Thay đổi này cho thấy sự đánh giá ban đầu của giới bảo mật về mức độ nguy hiểm thực sự của lỗ hổng là khá thấp.

Thực tế xuất hiện các máy Mac bị tấn công

Ngày 12 tháng 8, NCSC-NL đã cập nhật thông tin, cho biết một số máy Mac có cổng 5900 mở trên internet đã bị chiếm quyền và cài phần mềm đào Monero. Họ cũng nhấn mạnh rằng mã khai thác thử nghiệm cho lỗ hổng đã được công khai, làm cho việc tấn công trở nên dễ dàng hơn.

Một nhà nghiên cứu bảo mật độc lập, sử dụng bút danh @osxreverser, đã thực hiện quét và phát hiện khoảng 40.000 máy Mac có tính năng Chia sẻ Màn hình đang hoạt động và được công khai trên internet, trong đó một nửa số đó có khả năng bị khai thác. Dữ liệu này hiện chưa được xác nhận độc lập bởi bất kỳ cơ quan hoặc tổ chức nào khác.

Đáng lưu ý rằng tính đến nay, lỗ hổng này vẫn chưa xuất hiện trong danh sách các lỗ hổng bị khai thác chính thức (KEV) của CISA, mặc dù NCSC Hà Lan đã xác nhận rằng có sự khai thác thực tế trên nhiều hệ thống. Sự không đồng bộ giữa hai cơ quan an ninh mạng này chỉ ra rằng quá trình xác minh và cập nhật danh sách cảnh báo không phải lúc nào cũng diễn ra đồng bộ.

Quyền truy cập root mà tin tặc có được không chỉ dừng lại ở việc khai thác tiền ảo. Với quyền hạn cao nhất trên hệ thống, kẻ tấn công có thể đọc, sửa đổi dữ liệu, cài đặt phần mềm độc hại, hoặc đánh cắp thông tin đăng nhập lưu trên máy.

Cách thức kiểm tra và bảo vệ thiết bị của bạn

Người dùng đang sử dụng máy Mac nên nhanh chóng cập nhật lên macOS Tahoe 26.6.1, Sequoia 15.7.9 hoặc Sonoma 14.8.9 nếu chưa thực hiện điều này. Đối với những thiết bị không thể cập nhật ngay, một cách đơn giản để bảo vệ là tắt chức năng Chia sẻ Màn hình thông qua Cài đặt Hệ thống > Chung > Chia sẻ và trượt công tắc Chia sẻ Màn hình sang trạng thái tắt.

Người dùng cần kiểm tra xem cổng 5900 có mở công khai trên internet hay không, đặc biệt đối với những ai thường xuyên remote vào máy Mac từ xa thông qua cấu hình chuyển tiếp cổng trên router. Thay vào đó, nên cân nhắc sử dụng các phương thức kết nối an toàn hơn như VPN thay vì để cổng mở trực tiếp.