Un percorso pre-autenticazione dalla porta 5900 al root
La falla risiede in screensharingd, il processo macOS che gestisce le connessioni VNC sulla porta TCP 5900, e permette a un attaccante in rete di completare l'autenticazione senza fornire password o qualsiasi altra credenziale. Una volta aggirata l'autenticazione, lo stesso percorso pre-autenticazione permette all'attaccante di scrivere file come root, sufficiente per installare codice con privilegi di sistema completi, la definizione da manuale di esecuzione di codice remoto.
L'analisi tecnica di Tanium spiega quanto fosse sottile la barriera reale: un Mac con Screen Sharing attivo e la porta 5900 raggiungibile dalla rete non aveva, di fatto, alcun passaggio di autenticazione tra un attaccante e l'accesso root. Nessuna credenziale richiesta, e root alla fine del percorso, è il motivo per cui CISA tratta questa falla come una delle più gravi di un normale ciclo di patch, non come un bug ordinario che ha ricevuto una copertura insolitamente ampia.
6 agosto: tre patch, inizia una cronologia
Apple ha rilasciato la correzione di questa falla il 6 agosto 2026, pubblicandola contemporaneamente su tre linee di sistema operativo supportate: macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 e macOS Sonoma 14.8.9. Una correzione simultanea su tre versioni attive è l'aspetto di una patch rapida e ben eseguita, ed è proprio dove si fermano molti riassunti brevi di questa storia.
| Tappa | Data |
|---|---|
| Patch di Apple rilasciata (Tahoe 26.6.1, Sequoia 15.7.9, Sonoma 14.8.9) | 6 agosto 2026 |
| Punteggio CVSS | 9.8 su 10 (rivalutato da 7.1) |
| NCSC-NL segnala sfruttamento attivo | Attorno al 12 agosto 2026 |
| Inserimento nel catalogo KEV di CISA | 18 agosto 2026 |
| Scadenza federale di rimedio | 21 agosto 2026 (già scaduta) |
Una patch esistente dal 6 agosto è un'affermazione su cosa Apple ha reso disponibile, non su cosa gira oggi su un determinato Mac. Un Mac che non è stato riavviato nella nuova build, un Mac gestito al di fuori di una normale politica di aggiornamento, o un Mac il cui proprietario ha rimandato la notifica di aggiornamento, è esposto esattamente quanto lo era il 5 agosto, alla data di pubblicazione di questo articolo.
12 agosto: NCSC-NL trova lo stesso esito in ogni caso
NCSC-NL, il centro nazionale per la cybersicurezza dei Paesi Bassi, ha segnalato sfruttamento attivo della falla attorno al 12 agosto 2026, meno di una settimana dopo la pubblicazione della patch di Apple. In ogni caso osservato da NCSC-NL, l'intrusione è finita allo stesso modo: con un miner della criptovaluta Monero installato sul Mac compromesso.
Il blog di Malwarebytes ha indicato questo esito come il segnale di ciò per cui questa falla viene realmente usata in questo momento, non furto di dati o ransomware, ma furto silenzioso e continuo di potenza di calcolo, per cui un miner è costruito a funzionare finché resta inosservato. Un criptominer è anche una delle compromissioni più facili da non notare, perché non blocca uno schermo né chiede un riscatto, gira semplicemente in background e consuma cicli di CPU, motivo per cui un Mac non monitorato sulla porta 5900 può restare compromesso a lungo senza che nessuno se ne accorga.
Dal 14 al 18 agosto: una revisione del punteggio, poi sei giorni di attesa per il KEV
CISA ha portato la gravità della falla da 7.1 a 9.8 su 10 il 14 agosto 2026, due giorni dopo che il rapporto di NCSC-NL sullo sfruttamento attivo è diventato pubblico. La copertura di Tom's Hardware sulla revisione ha notato che il salto rifletteva quanto facilmente la falla potesse essere attivata via rete, una volta che lo sfruttamento reale ha confermato ciò che il punteggio originale aveva sottostimato.
CISA ha aggiunto la falla al proprio catalogo Known Exploited Vulnerabilities solo il 18 agosto 2026, quattro giorni dopo la revisione e sei giorni dopo il rapporto di NCSC-NL sullo sfruttamento attivo. La copertura di Help Net Security del 17 agosto aveva già segnalato la falla come urgente prima che l'inserimento nel KEV si allineasse, e la scadenza federale per la messa in sicurezza legata a quell'inserimento, il 21 agosto 2026, era già passata al momento della pubblicazione di questo articolo.
La data della patch non è la data della distribuzione
Una patch pubblicata il 6 agosto è un fatto su ciò che Apple ha reso disponibile, non un fatto su ciò che è installato oggi su uno specifico Mac. Il divario che conta non è tra divulgazione e patch, che Apple ha chiuso rapidamente, ma tra patch e distribuzione, tra una correzione che esiste e una correzione che raggiunge davvero ogni Mac con Screen Sharing attivo e la porta 5900 raggiungibile dalla rete.
Il divario di sei giorni di CISA stessa tra il rapporto di NCSC-NL e l'inserimento nel KEV dimostra lo stesso punto dal lato istituzionale: anche una falla con gravità 9.8 e sfruttamento attivo confermato non si è mossa immediatamente attraverso il sistema costruito apposta per segnalarla. Se un processo formale di monitoraggio può restare quasi una settimana indietro rispetto allo sfruttamento attivo, una singola flotta di Mac senza una sorveglianza dedicata sulla porta 5900 può restare indietro molto di più. Verificare che la patch sia stata davvero installata, e disattivare Screen Sharing ovunque non serva, è l'unico modo per chiudere quel divario.
Da leggere ora: La patch di aprile per la VPN è già sotto attacco | Una Sola Foto Avrebbe Potuto Violare il Tuo iPhone
