El fallo crítico detectado en la función compartir pantalla de macOS permitió a ciberatacantes ejecutar el secuestro remoto de equipos para instalar software de minería de criptomonedas sin requerir credenciales de acceso validadas por el usuario.
La naturaleza técnica del fallo en MacOS
La vulnerabilidad identificada bajo el identificador cve-2026-65400 afectó directamente al mecanismo de autenticación de la herramienta compartir pantalla. Este componente del sistema operativo, diseñado para facilitar el control remoto entre ordenadores situados dentro de una misma red local, sufrió una degradación en sus protocolos de seguridad que permitió el acceso externo no autorizado. Los atacantes aprovecharon esta brecha para eludir los controles de verificación de identidad, obteniendo capacidades de control total sobre los equipos comprometidos sin necesidad de poseer permisos administrativos o contraseñas legítimas.
Explotación a través del puerto 5900
El Centro de Ciberseguridad Nacional de Países Bajos confirmó que el vector de ataque principal residió en la exposición pública del puerto 5900 a través de internet. Este puerto constituye la vía de comunicación predeterminada para el protocolo de compartir pantalla, por lo que su apertura sin protecciones adicionales permitió que los actores maliciosos localizaran e intervinieran dispositivos vulnerables de manera automatizada. Tras consolidar el acceso remoto, los responsables de la intrusión procedieron a desplegar un criptominero de monero, el cual utilizaba los recursos de procesamiento del hardware de las víctimas para beneficio exclusivo de los atacantes.
Alcance y medidas de mitigación de Apple
La incidencia alcanzó a las versiones de software específicas correspondientes a macos sequoia 15.7.9, sonoma 14.8.9 y tahoe 26.6.1. Ante el riesgo persistente que suponía la explotación activa de este fallo, la empresa apple implementó una corrección definitiva a través de una actualización de seguridad distribuida el pasado 6 de agosto. El despliegue de este parche constituye la respuesta oficial para clausurar la vulnerabilidad en el sistema de autenticación y prevenir futuros accesos ilegítimos derivados de la configuración del puerto 5900.
(Con información de Europa Press)
