Passer au contenu principal
CVE-2026-65400 : faille critique permettant de contourner l'authentification du partage d'écran sous macOS

Faille critique permettant de contourner l'authentification lors du partage d'écran sous macOS — Actuellement exploitée (CVE-2026-65400)

CVE-2026-65400 est une vulnérabilité liée à la pré-authentification dans le démon de partage d'écran de macOS (screensharingd) qui permet à un attaquant réseau de s'authentifier sans identifiants valides et d'obtenir l'exécution de code à distance avec des privilèges root. Apple a corrigé cette faille sur 6 août 2026, dans les versions macOS Tahoe 26,6,1, Sequoia 15,7,9 et Sonoma 14,8,9, mais à la suite de signalements indiquant qu’elle faisait l’objet d’une exploitation active, la CISA a revu son niveau de gravité, le faisant passer de 7,1 à 9,8 (Critique) sur 14 août , et l’a ajoutée au catalogue des vulnérabilités connues pour lesquelles il existe des exploits (KEV) sur 18 août, accordant aux agences fédérales un délai allant jusqu’au 21 août 2026 pour y remédier.

Le 6 août 2026, Apple a publié un correctif d'urgence hors cycle pour le bogue CVE-2026-65400, un problème d'authentification dans « screensharingd », le démon à l'origine de « Screen Sharing », le service de bureau à distance intégré à macOS qui écoute sur le port TCP 5900. L'avis de sécurité d'Apple décrit un attaquant qui pourrait accéder au service via le réseau et s'authentifier sans identifiants valides, puis lire et écrire des fichiers en tant qu'utilisateur root — ce qui suffirait pour parvenir à une exécution complète de code à distance. Ce correctif a été intégré dans les versions suivantes : (macOS Tahoe 26,6,1), (macOS Sequoia 15,7,9), et (macOS Sonoma 14,8,9), environ dix jours après que la mise à jour régulière d'Apple du mois de juillet eut déjà corrigé trois autres bogues distincts liés au partage d'écran.

C'est le Centre national de cybersécurité des Pays-Bas (NCSC-NL) de l' , , qui a signalé pour la première fois cette vulnérabilité sur 7 août et qui, dans une mise à jour publiée sur 12 août , a fait état d'une exploitation active : sur tous les Mac connectés à Internet qu'il a examinés et dont le port 5900 était accessible, les attaquants avaient obtenu un accès root et installé un mineur de cryptomonnaie Monero ; un code de preuve de concept public était d'ailleurs déjà disponible à ce moment-là. La CISA a revu la classification de la CVE, la faisant passer de 7,1 à 9,8 (Critique) sur 14 août. Elle a ainsi remplacé un vecteur d'attaque supposant que l'attaquant disposait de certains privilèges par un autre n'en nécessitant aucun et permettant une compromission totale, puis a ajouté cette faille à son catalogue des vulnérabilités connues exploitées ( ) sur 18 août. Ce même jour, Microsoft Security Intelligence a signalé avoir observé une exploitation sur un nombre limité d’appareils macOS : après avoir obtenu un accès root via le partage d’écran, les attaquants ont transféré une clé publique SSH et des scripts sur l’appareil, ont établi une persistance SSH, ont effacé les journaux et l’historique, ont modifié les paramètres du filtre de paquets et ont déployé le mineur de cryptomonnaie XMRig 6,26,0 sous la forme d’un binaire caché .config/sysmond se faisant passer pour com.apple.airportd, dont la persistance était assurée par un LaunchDaemon KeepAlive.

En quoi consiste cette vulnérabilité ?

screensharingd est le démon macOS qui sous-tend « Screen Sharing », le service de bureau à distance intégré basé sur VNC qui écoute sur le port TCP 5900. La faille CVE-2026-65400 permet à un attaquant réseau de mener à bien l'authentification auprès de ce service sans mot de passe valide, puis d'exploiter la session ainsi établie pour lire des fichiers protégés et écrire des fichiers contrôlés par l'attaquant en tant qu'utilisateur root, ce qui suffit pour parvenir à l'exécution de code à distance en tant qu'utilisateur root. Aucun accès local ni aucune intervention de l'utilisateur ne sont nécessaires ; seule l'accessibilité du service via le réseau est requise. Conformément au modèle MITRE ATT&CK, les techniques concernées sont la T1190 (Exploitation d’une application accessible au public) pour le vecteur d’accès initial, les T1098,004 (Clés d’authentification SSH) et T1543,004 (Création ou modification d’un processus système : lancement d’un démon) pour la persistance observée en conditions réelles, et la T1496 (Détournement de ressources) pour la charge utile de minage de cryptomonnaie.

Points clés à retenir

  • La seule condition requise est un accès réseau au port 5900 sur le Mac cible : l'attaquant n'a pas besoin d'un nom d'utilisateur ou d'un mot de passe valide, il n'a pas besoin d'être déjà connecté ni d'exécuter du code sur la machine, et il n'a pas besoin que la victime clique ou donne son accord.
  • La surface d'exposition correspond à tout Mac sur lequel le partage d'écran est activé et dont le port 5900 est accessible depuis un réseau non fiable, notamment l'Internet public.
  • Une fois cette faille exploitée, un pirate dispose d'un accès root complet, ce qui signifie qu'aucun fichier ni aucune fonction du système ne lui est inaccessible. Lors des attaques observées, cet accès a été utilisé pour installer une clé SSH cachée permettant un accès à distance persistant et pour déployer un mineur de la cryptomonnaie Monero.
  • Problème résolu dans macOS Tahoe 26,6,1, Sequoia 15,7,9 et Sonoma 14,8,9 (6 août, 2026). La CISA a réévalué le score CVSS de 7,1 à 9,8 (Critique) sur 14 août et l'a ajouté au catalogue KEV sur 18 août, avec une date limite fédérale de mise en conformité fixée au 21 août 2026.
  • Les terminaux sur lesquels le partage d'écran est désactivé ne peuvent pas être exploités via ce vecteur, même s'ils ne sont pas mis à jour ; toutefois, le code vulnérable reste présent jusqu'à l'application de la mise à jour.

Comment Tanium peut vous aider

Tanium Guardian : Le tableau de bord « CVE-2026-65400 » présente l'état actuel du partage d'écran sur l'ensemble du parc informatique et met en évidence les terminaux réellement exposés : les terminaux non mis à jour sur lesquels le partage d'écran est également activé. Déployez le package « Désactiver le partage d'écran [macOS] » directement depuis le tableau de bord à titre de mesure corrective provisoire sur les terminaux qui n'utilisent pas cette fonctionnalité (celle-ci est désactivée par défaut sur les nouvelles installations) ; l'application du correctif reste la solution principale.

Tanium Comply : Effectuez une évaluation des vulnérabilités et filtrez les résultats sur le numéro CVE-2026-65400 afin de consulter les chiffres actuels et de vérifier quels terminaux doivent encore être mis à jour vers macOS Tahoe 26,6,1, Sequoia 15,7,9 ou Sonoma 14,8,9. Réexécutez l'évaluation après l'application des correctifs afin de vérifier que chaque problème a bien été résolu.

Tanium Patch : Les clients qui gèrent des Mac via MDM peuvent déployer la mise à jour en tant que « Update » dans l'environnement de travail Patch ; les mises à jour macOS dans Tanium Patch sont diffusées sous forme de commandes MDM. Ainsi, la plupart des clients n'auront pas besoin d'une inscription distincte ni d'outils supplémentaires pour faire passer leurs terminaux vers Tahoe 26,6,1, Sequoia 15,7,9 ou Sonoma 14,8,9.

Tanium Interact : Exécutez les questions Interact prédéfinies du tableau de bord afin de détecter le modèle de persistance signalé dans la nature.

Références

Équipe de recherche du Guardian

L'équipe de recherche du Guardian est un groupe spécialisé d'experts en cybersécurité chargé d'identifier, d'analyser et de fournir des renseignements exploitables sur les menaces critiques, émergentes et de type « zero-day ».