Ein Vorauth-Weg von Port 5900 zum Root-Zugriff
Die Lücke liegt in screensharingd, dem macOS-Prozess, der VNC-Verbindungen auf TCP-Port 5900 beantwortet, und sie erlaubt einem Angreifer im Netzwerk, die Authentifizierung ohne Passwort oder ein anderes Anmeldedatum abzuschließen. Ist die Authentifizierung erst umgangen, erlaubt derselbe Vorauth-Weg dem Angreifer, Dateien als Root zu schreiben, was ausreicht, um Code mit vollen Systemrechten auszuführen - die Lehrbuchdefinition von Remote Code Execution.
Tanium schlüsselt in seinem technischen Blogbeitrag auf, wie dünn die Barriere tatsächlich war: Ein Mac mit aktiviertem Screen Sharing und erreichbarem Port 5900 hatte faktisch keinen Authentifizierungsschritt zwischen einem Angreifer und Root-Rechten. Keine Anmeldedaten nötig, und am Ende Root-Zugriff, das ist der Grund, warum CISA diese Lücke als eine der schwerwiegenderen in einem normalen Patch-Zyklus behandelt und nicht als Routinefehler mit ungewöhnlich ausführlicher Berichterstattung.
6. August: Drei Patches, ein Zeitplan beginnt
Apple veröffentlichte den Fix für diese Lücke am 6. August 2026 gleichzeitig für drei unterstützte Betriebssystemlinien: macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 und macOS Sonoma 14.8.9. Ein gleichzeitiger Fix über drei aktive Versionen hinweg ist, wie ein schneller, sauber ausgeführter Patch aussieht, und genau dort hören die meisten kurzen Zusammenfassungen dieser Geschichte auf.
| Meilenstein | Datum |
|---|---|
| Apple-Patch veröffentlicht (Tahoe 26.6.1, Sequoia 15.7.9, Sonoma 14.8.9) | 6. August 2026 |
| CVSS-Wert | 9,8 von 10 (hochgestuft von 7,1) |
| NCSC-NL meldet aktive Ausnutzung | Um den 12. August 2026 |
| Aufnahme in den CISA-KEV-Katalog | 18. August 2026 |
| Frist für US-Bundesbehörden | 21. August 2026 (bereits verstrichen) |
Ein seit dem 6. August existierender Patch ist eine Aussage darüber, was Apple bereitgestellt hat, keine Aussage darüber, was auf einem bestimmten Mac tatsächlich läuft. Ein Mac, der nicht in den neuen Build neu gestartet wurde, ein Mac, der außerhalb einer Standard-Update-Richtlinie verwaltet wird, oder ein Mac, dessen Besitzer die Update-Benachrichtigung aufgeschoben hat, ist am Tag der Veröffentlichung dieses Artikels genauso exponiert wie am 5. August.
12. August: Das NCSC-NL findet in jedem Fall dasselbe Ergebnis
Das NCSC-NL, die niederländische nationale Cybersicherheitsbehörde, meldete um den 12. August 2026 aktive Ausnutzung der Lücke, weniger als eine Woche nachdem Apples Patch erschienen war. In jedem vom NCSC-NL beobachteten Fall endete der Einbruch gleich: mit einem installierten Monero-Krypto-Miner auf dem kompromittierten Mac.
Der Malwarebytes-Blog hob dieses Ergebnis als das entscheidende Zeichen dafür hervor, wofür diese Lücke aktuell tatsächlich genutzt wird, nämlich nicht für Datendiebstahl oder Ransomware, sondern für stillen, andauernden Rechenleistungsdiebstahl, für den ein Miner gebaut ist, solange er unbemerkt bleibt. Ein Krypto-Miner ist zudem eine der am leichtesten übersehenen Kompromittierungen, denn er sperrt keinen Bildschirm und fordert kein Lösegeld, sondern läuft im Hintergrund und verbraucht CPU-Zyklen, weshalb ein unüberwachter Mac an Port 5900 lange kompromittiert bleiben kann, ohne dass es jemand bemerkt.
14. bis 18. August: Eine Hochstufung, dann sechs Tage Wartezeit auf den KEV-Eintrag
CISA stufte den Schweregrad der Lücke am 14. August 2026 von 7,1 auf 9,8 von 10 hoch, zwei Tage nachdem der Bericht des NCSC-NL über aktive Ausnutzung öffentlich geworden war. Die Berichterstattung von Tom's Hardware zur Hochstufung merkte an, dass der Sprung widerspiegelte, wie leicht die Lücke über das Netzwerk auszulösen war, sobald reale Ausnutzung bestätigte, was die ursprüngliche Bewertung unterschätzt hatte.
CISA nahm die Lücke erst am 18. August 2026 in den Known-Exploited-Vulnerabilities-Katalog auf, vier Tage nach der Hochstufung und sechs Tage nach dem Bericht des NCSC-NL über aktive Ausnutzung. Die Berichterstattung von Help Net Security am 17. August hatte die Lücke bereits als dringend eingestuft, bevor der KEV-Eintrag nachzog, und die mit dem Eintrag verbundene Frist für US-Bundesbehörden, der 21. August 2026, war zum Zeitpunkt der Veröffentlichung dieses Artikels bereits verstrichen.
Das Patch-Datum ist nicht das Rollout-Datum
Ein am 6. August veröffentlichter Patch ist eine Tatsache darüber, was Apple bereitgestellt hat, keine Tatsache darüber, was auf einem konkreten Mac installiert ist. Die entscheidende Lücke liegt nicht zwischen Offenlegung und Patch, die Apple schnell schloss, sondern zwischen Patch und tatsächlichem Rollout, zwischen einem existierenden Fix und einem Fix, der wirklich jeden Mac mit aktiviertem Screen Sharing und erreichbarem Port 5900 erreicht.
CISAs eigene sechstägige Lücke zwischen dem Bericht des NCSC-NL und dem KEV-Eintrag zeigt denselben Punkt von institutioneller Seite: Selbst eine Lücke mit einem Schweregrad von 9,8 und bestätigter aktiver Ausnutzung bewegte sich nicht sofort durch das System, das genau dafür gebaut wurde, sie zu kennzeichnen. Wenn ein formaler Meldeprozess aktiver Ausnutzung fast eine Woche hinterherhinkt, kann eine einzelne Mac-Flotte ohne gezielte Beobachtung von Port 5900 noch viel weiter zurückliegen. Zu prüfen, ob der Patch tatsächlich installiert wurde, und Screen Sharing überall dort zu deaktivieren, wo es nicht gebraucht wird, ist der einzige Weg, diese Lücke zu schließen.
Weiterlesen: Der April-Patch für Ihr VPN wird jetzt ausgenutzt | Ein Einziges Foto Hätte Ihr iPhone Kapern Können
