Une exploitation active confirmée après la publication des correctifs

Apple a publié le 6 août 2026 trois mises à jour ciblées : macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 et macOS Sonoma 14.8.9. Leur avis de sécurité ne contient qu’une entrée, CVE-2026-65400, dans le composant Screen Sharing. Apple décrit un problème d’authentification grâce auquel un attaquant joignable sur le réseau peut se connecter au partage d’écran sans disposer d’identifiants valides. Le correctif renforce la gestion de l’état pendant cette authentification.

Le calendrier a ensuite changé la portée éditoriale du sujet. Le NCSC néerlandais a publié un premier avis le 7 août, puis l’a révisé le 12 août après la diffusion d’un code de démonstration public et le signalement d’attaques réelles. Tom’s Hardware a recoupé ces éléments le 16 août. Il faut donc distinguer la date du correctif Apple, celle de la confirmation opérationnelle et celle de sa couverture indépendante : la vulnérabilité n’est pas apparue cette semaine, mais son exploitation n’est plus seulement théorique.

Le NCSC indique avoir reçu un signalement concernant plusieurs systèmes dont le port TCP 5900 était accessible depuis Internet. Dans tous les cas décrits à l’agence, les attaquants avaient obtenu un accès root et installé un mineur de cryptomonnaie Monero. Cette observation est sérieuse, mais elle ne permet pas d’affirmer que chaque tentative aboutit automatiquement à root, que tous les Mac sont exposés ou que le mineur constitue l’unique charge utile possible.

MacBook Pro affichant l’écran de verrouillage officiel de macOS Tahoe 26.
Ce visuel Apple identifie l’interface de macOS Tahoe 26 ; il ne représente ni CVE-2026-65400 ni une machine compromise.

Ce que permet la faille, et la condition réseau indispensable

Screen Sharing est le service intégré qui permet à un autre ordinateur de voir et de contrôler le bureau d’un Mac. Apple précise qu’une session autorisée peut ouvrir ou fermer des applications et des fichiers, déplacer des éléments, voire redémarrer la machine. Le service est compatible avec VNC et utilise le port TCP 5900 par défaut. CVE-2026-65400 contourne précisément la vérification des identifiants à l’entrée de ce service ; il ne s’agit pas d’un fichier piégé à ouvrir ni d’un site à visiter.

La portée dépend donc de l’accessibilité du service. Un Mac qui n’active pas le partage d’écran et n’expose pas le port correspondant ne présente pas la même surface d’attaque qu’une station d’administration, un serveur de création ou une machine rendue directement joignable depuis Internet. Un réseau local hostile peut également entrer dans le scénario décrit par Apple. En revanche, la seule connexion d’un Mac à Internet ne prouve pas que le port 5900 est ouvert ou routé vers lui.

L’accès root observé par le NCSC montre les conséquences possibles après compromission, sans détailler toute la chaîne employée. L’avis public d’Apple se limite au contournement d’authentification et ne décrit ni l’implant Monero, ni le mécanisme exact d’élévation jusqu’à root. Il reste donc prudent de présenter ces éléments séparément : Apple confirme la porte d’entrée, tandis que le NCSC documente le résultat constaté sur les systèmes qui lui ont été signalés.

Les versions à installer et les mesures immédiates

La réponse prioritaire consiste à installer la version adaptée au système déjà utilisé : Tahoe 26.6.1, Sequoia 15.7.9 ou Sonoma 14.8.9. Apple les a toutes rendues disponibles le 6 août. Sur le Mac, la vérification passe par le menu Apple, Réglages Système, Général, puis Mise à jour de logiciels. Le numéro installé peut être contrôlé dans À propos de ce Mac ; il ne suffit pas de voir « macOS 26.6 », car Tahoe 26.6.1 est précisément la révision qui traite cette faille.

Lorsqu’une mise à jour immédiate est impossible, Apple permet de couper Screen Sharing dans Réglages Système, Général, Partage. Il faut aussi retirer toute redirection du port 5900 sur le routeur ou le pare-feu. Pour un accès distant réellement nécessaire, limiter la portée au réseau d’administration ou à un VPN contrôlé réduit l’exposition publique, mais ne remplace pas le correctif : un attaquant déjà présent sur le réseau pourrait encore atteindre le service vulnérable.

Centre de contrôle officiel de macOS Tahoe 26 affiché sur l’écran d’un MacBook Pro.
Le Centre de contrôle illustre les commandes réseau de Tahoe, mais Screen Sharing se désactive dans Réglages Système, Général, Partage.

Une machine ayant exposé le port 5900 avant la mise à jour mérite davantage qu’un simple changement de mot de passe, puisque la faille permettait justement de contourner les identifiants. Les journaux, processus persistants et connexions sortantes doivent être examinés selon les procédures de l’organisation. Le NCSC ne publie toutefois ni indicateur de compromission complet ni outil de nettoyage universel dans son avis ; en cas de doute, isoler le Mac et faire intervenir l’administrateur ou le prestataire de sécurité reste plus fiable qu’une suppression manuelle improvisée.

Des attaques confirmées, mais une ampleur encore inconnue

Le signalement du NCSC confirme plusieurs compromissions, pas une campagne mondiale quantifiée. L’agence ne publie ni le nombre exact de machines, ni les pays touchés, ni l’identité de l’opérateur, ni la durée pendant laquelle les systèmes sont restés exposés. Tom’s Hardware souligne aussi que la vulnérabilité ne figurait pas encore dans le catalogue Known Exploited Vulnerabilities de la CISA au moment de son article. Cette absence ne contredit pas les cas néerlandais, mais montre que les référentiels publics ne sont pas toujours synchronisés.

Apple ne précise pas non plus si d’anciennes branches de macOS non listées sont vulnérables ou recevront un correctif. Les trois avis disponibles couvrent Tahoe, Sequoia et Sonoma. Il serait donc imprudent de déduire qu’une version plus ancienne est sûre parce qu’aucune mise à jour correspondante n’apparaît dans le registre du 6 août. Une machine qui ne peut plus rejoindre une branche maintenue doit éviter d’exposer le service et faire l’objet d’un plan de migration.

Pour les joueurs, streamers et créateurs utilisant un Mac comme poste secondaire, serveur de fichiers ou machine de production, l’impact concret tient moins à une baisse de performances qu’à la prise de contrôle potentielle d’un appareil connecté au reste du réseau. La bonne lecture n’est donc ni « tous les Mac ont été piratés », ni « seuls les mineurs Monero sont concernés ». Le fait établi est plus précis : un service Screen Sharing accessible et non corrigé peut accepter une authentification invalide, et des systèmes exposés à Internet ont déjà été compromis.