Van entrar pel port 5900 i van sortir amb root: el miner era el de menys

El centre nacional de ciberseguretat dels Països Baixos va actualitzar el seu avís NCSC-2026-0280 amb una nota curta i desagradable, que la premsa va recollir el 14 d'agost: han vist explotació activa de l'error de Compartir pantalla de macOS en diversos sistemes que tenien el port 5900 accessible des d'internet, i en tots els casos notificats l'atacant havia aconseguit root i havia deixat posat un miner de Monero. Sota el miner, que és el que es veu, hi ha algú amb root en un equip de l'empresa.

Apple ja ho havia arreglat. El 6 d'agost va treure fora de cicle macOS Tahoe 26.6.1, Sequoia 15.7.9 i Sonoma 14.8.9, amb una frase de manual: un atacant a la xarxa pot autenticar-se contra Compartir pantalla sense credencials vàlides. No va dir que s'estigués explotant, i tampoc no va dir el contrari. Poc més d'una setmana després va arribar l'avís dels holandesos, i amb ell la part que no surt a les notes de seguretat: quina mena de màquines eren aquelles.

Un validador que diu que sí quan tocava dir que no

L'anàlisi tècnica que ha publicat Huntress deixa l'error a la vista. A screensharingd, el dimoni que serveix l'escriptori remot de macOS, la implementació d'SRP —el protocol que negocia la contrasenya sense enviar-la— té un validador de longitud de trama que retorna un estat d'èxit antic. Amb això n'hi ha prou: la connexió passa a tractar-se com a autenticada. No hi ha contrasenya per endevinar ni compte que existeixi. És un error previ a l'autenticació, que és el pitjor lloc on pot estar.

Després no hi ha escalada de privilegis, perquè ja s'entra a dalt. La ruta d'autenticació VNC antiga es recolza en dos ajudants privilegiats, SSFileCopySender i SSFileCopyReceiver, que per aquí corren com a root. I el primer no és un root qualsevol: SSFileCopySender porta l'entitlement kTCCServiceSystemPolicyAllFiles, que és accés complet al disc saltant-se TCC, el sistema que a macOS pregunta si tal aplicació pot llegir tal carpeta. El receptor no el porta, i Huntress apunta el motiu probable: les implicacions de saltar-se TCC eren massa evidents. Lectura i escriptura arbitràries, i execució de codi com a root. El miner de Monero, amb això a les mans, és l'opció menys ambiciosa que hi havia damunt la taula.

I hi ha un segon forat al mateix servei, amb menys soroll mediàtic: CVE-2026-43760, posterior a l'autenticació, en què qualsevol usuari que hagi entrat pel mètode VNC antic pot llegir i crear qualsevol fitxer com a root. És a dir, que el mateix component falla per davant i per darrere de la porta.

L'enduriment de sempre no tapava aquest forat

Hi ha una frase a l'anàlisi d'Huntress que gairebé no s'ha repetit i que és la més important de tot el cas: l'enduriment estàndard —treure comptes de la llista d'usuaris permesos, desactivar el VNC antic— no protegeix contra CVE-2026-65400. Qui havia fet els deures estava exactament igual d'exposat que qui no els havia fet.

I és un patró, no una casualitat. Gairebé tot el que en diem endurir consisteix a limitar qui pot entrar: menys usuaris, menys mètodes, menys permisos. Això no cobreix un error que precisament no necessita que entris. Ahir mateix explicàvem un cas de la mateixa família a OpenSSH, on bloquejar l'agent desactivava precisament les restriccions que un li havia posat: el control existia, estava ben configurat, i l'error passava per un altre lloc. Quan el control i l'error no comparteixen camí, el control no val de res per molt ben posat que estigui.

Compartir pantalla no està activat. Algú el va activar

En una instal·lació normal de macOS, Compartir pantalla està desactivat. Huntress ho assenyala amb alleujament explícit i hi afegeix el matís que explica la resta del cas: està activat de fàbrica en bona part dels serveis de Mac allotjat, aquells Mac mini de lloguer que es fan servir per compilar aplicacions o per tenir una màquina de referència.

La xifra que circula sobre quants n'hi ha d'exposats ve d'un escaneig d'un investigador —Pedro Vilaça, que publica com a @osxreverser— i la recull The Hacker News: al voltant de 40.000 equips amb Compartir pantalla obert a internet, gairebé la meitat als Estats Units. Qui va fer l'escaneig matisa que la majoria són adreces residencials, així que cal prendre-la pel que és: la foto d'un escaneig, no un cens. Però en aquesta mateixa llista apareixen universitats, alguna empresa i fins i tot un servidor de la casa que fa BBEdit. Aquí és on deixa de ser un despistament domèstic i passa a ser una decisió antiga que ningú ha tornat a mirar.

La forma que té això en una empresa mitjana gairebé sempre és la mateixa, i no té res a veure amb macOS: algú demana entrar des de casa al seu equip de l'oficina, algú deixa accessible el Mac de la sala de reunions per no pujar al primer pis, un proveïdor conserva l'accés quan el projecte ja s'ha acabat. S'obre per una raó bona, es resol la urgència i la regla del tallafoc es queda allà, sense amo i sense data de caducitat.

La llista que gairebé ningú té

Gairebé tota empresa té una llista d'equips. Molt poques tenen l'altra llista, que és la que importava aquí: què escolta des de fora, en quina IP, en quin port i per decisió de qui. El primer d'aquests inventaris surt del sistema de gestió del parc; el segon cal anar a buscar-lo al perímetre de la xarxa, i canvia cada vegada que algú toca una redirecció de ports.

És el mateix que escrivíem sobre els agents de gestió remota dels proveïdors d'IT. Tot el que serveix per arribar a una màquina de lluny —un agent, un escriptori remot, un túnel— és alhora la comoditat i la porta, i gairebé sempre ho va instal·lar algú que ja no és a la conversa.

Què es veu des de l'equip, si hi ha algú mirant

Un servei de detecció gestionat fa aquí una feina molt concreta, i no és la que se sol vendre. No impedeix l'error: quan el dimoni et dona per autenticat, no hi ha res a impedir. El que fa és que la intrusió deixi de ser invisible mentre dura. macOS publica els esdeveniments de Compartir pantalla pel seu framework d'Endpoint Security, i l'anàlisi d'Huntress dona tres senyals que serveixen per escriure una regla:

Un miner es delata sol: consumeix, escalfa i no para. El problema del miner és que t'acostuma a pensar que l'objectiu de l'atacant era la teva factura de la llum. Amb accés complet al disc, en aquell mateix equip hi havia les claus SSH, els tokens de sessió del navegador, el clauer i el que hi hagués sincronitzat del núvol. I ja vam escriure fa uns dies sobre famílies de ransomware que el primer que fan és aturar l'agent de seguretat: si qui entra té root, tenir un agent instal·lat i tenir un agent viu deixen de ser el mateix. Per això importa que algú miri la telemetria des de fora de l'equip, i no només que la icona sigui a la barra.

El que faríem aquesta setmana

Quan això no va amb tu

Si a l'empresa no hi ha cap Mac, això no és el teu problema i no te'n fabricarem un. Si n'hi ha però cap no publica res cap a fora, pots esperar a la teva finestra de manteniment habitual: l'explotació que s'ha vist necessita el 5900 accessible des d'internet. Això sí, no l'allarguis, perquè la cronologia d'Huntress recull proves de concepte publicades per investigadors poc després de sortir els pedaços d'aquesta família d'errors. I tampoc et vendrem que un EDR hauria evitat això, perquè no és cert: hauria fet soroll, i de vegades el soroll és tot el que hi ha.

De tot el cas, el que ens quedem no és el CVE. Els CVE van i venen, i aquest a més té arranjament des del 6 d'agost. Es queda que l'error només va fer mal on hi havia un port obert que ningú recordava haver obert, i que cap butlletí de seguretat t'avisarà d'això: és una llista que t'has de fer tu, i que caduca cada vegada que algú resol una urgència un divendres a la tarda.

Fonts (verificades el 17 d'agost del 2026): actualització de l'avís NCSC-2026-0280 del NCSC dels Països Baixos sobre abús actiu en sistemes amb el port 5900 accessible des d'internet, amb obtenció de root i miner de Monero en tots els casos notificats, recollida el 14 d'agost per BleepingComputer (14-ag-2026), Security Affairs i SC Media; pedaç del 6 d'agost del 2026 a macOS Tahoe 26.6.1, Sequoia 15.7.9 i Sonoma 14.8.9, redacció d'Apple («un atacant a la xarxa pot autenticar-se contra Compartir pantalla sense credencials vàlides», corregit amb «gestió d'estat millorada»), crèdit de la troballa a Alfredo Pesoli (Bynario Atlas) i absència de menció a explotació en el moment del pedaç, segons la nota de seguretat d'Apple recollida per Security Affairs i 9to5Mac; detall tècnic del validador de longitud de trama d'SRP que retorna un estat d'èxit antic, ajudants SSFileCopySender i SSFileCopyReceiver executant-se com a root per aquesta ruta (amb l'entitlement kTCCServiceSystemPolicyAllFiles només a SSFileCopySender; el receptor no el té), CVE-2026-43760 posterior a l'autenticació, fet que Compartir pantalla no està activat per defecte però sí en molts serveis de Mac allotjat, inutilitat de l'enduriment estàndard davant de CVE-2026-65400, cronologia amb proves de concepte publicades per investigadors i els tres senyals de detecció per Endpoint Security, de l'anàlisi d'Huntress; xifra aproximada de 40.000 equips amb Compartir pantalla obert a internet (gairebé la meitat als EUA, la majoria adreces residencials, amb universitats i alguna empresa a la mateixa llista), d'un escaneig de l'investigador Pedro Vilaça (@osxreverser) recollit per The Hacker News; els dos vectors CVSS i les seves dates (6 i 14 d'agost del 2026), de la fitxa del NVD, que explica així la discrepància amb la puntuació de 7,1 publicada per SC Media el 14 d'agost. Les cites en català de textos originalment en anglès són traducció nostra. La lectura sobre els dos inventaris, la tesi que l'enduriment i l'error no comparteixen camí i la llista de comprovacions són nostres, no de les fonts.