macOS Screen SharingのCVE-2026-65400が実悪用、CISA KEV追加で対処期限は8月21日 — 認証不要でroot権限奪取、ポート5900公開のMacにMoneroマイナー

AppleのmacOSに標準搭載されている画面共有機能(Screen Sharing)の認証脆弱性CVE-2026-65400が、実際の攻撃で悪用されていることが確認されました。

Appleは2026年8月6日、macOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9を公開し、この問題を修正しました。Appleによると、ネットワーク上の攻撃者が有効な資格情報なしでScreen Sharingへ認証できる可能性があります。

その後、オランダ国家サイバーセキュリティセンター(National Cyber Security Centre Netherlands:NCSC-NL)は、インターネットからポート5900へ到達可能だった複数のMacで実悪用を確認したと公表しました。報告されたすべての事例で攻撃者がrootアクセスを取得し、暗号資産Moneroのマイニングソフトウェアを設置していたとしています。

米国サイバーセキュリティ・社会基盤安全保障庁(Cybersecurity and Infrastructure Security Agency:CISA)も8月18日、CVE-2026-65400を既知の悪用が確認された脆弱性カタログ(Known Exploited Vulnerabilities:KEV)へ追加しました。CISAが示す対応期限は8月21日です。

ただし、「すべてのMacがインターネットから無条件に侵入される」という意味ではありません。NCSC-NLが実悪用事例について挙げている条件は、Screen Sharingが有効で、TCPポート5900がインターネットから到達可能だったことです。組織では修正版への更新に加え、Screen Sharingの利用状況と外部公開状態を確認する必要があります。

CVE-2026-65400の概要
Appleは8月6日に緊急修正
Screen Sharingとは何か
NCSC-NLがインターネット上での実悪用を確認
攻撃対象になるための条件
CISAが8月18日にKEVへ追加
CVSS 7.1と9.8、なぜ数字が異なるのか
Appleの修正内容と未修正環境への対応
管理者が優先して確認すべきこと
今回のニュースで誤解しやすい点
まとめ
参考情報

CVE-2026-65400の概要

項目	内容
CVE	CVE-2026-65400
対象	Apple macOS Screen Sharing
脆弱性	不適切な認証(Improper Authentication)
CWE	CWE-287
現在のCVSS v3.1	9.8(Critical、CISAによる追加評価)
攻撃元	ネットワーク
認証	有効な資格情報なしで認証される可能性
利用者操作	不要(CISAによる追加評価)
実悪用	NCSC-NLおよびCISAが確認
確認された攻撃	rootアクセス取得、Moneroマイナー設置
CISA KEV追加	2026年8月18日
CISA対応期限	2026年8月21日
発見者	Alfredo Pesoli氏(@__rev)、Bynario Atlas経由

CVE Programでは、CVE番号付与機関が公開したCVEレコードへリスク評価や弱点分類などの情報を追加する組織を認定データパブリッシャー(Authorized Data Publisher:ADP)と呼びます。CISAはこの役割を担うCISA-ADPとして、CVE-2026-65400へ追加の評価情報を提供しています。

共通脆弱性タイプ一覧(Common Weakness Enumeration:CWE)では、CISA-ADPによってCWE-287「Improper Authentication」に分類されています。

米国国立脆弱性データベース(National Vulnerability Database:NVD)では、2026年8月19日時点のCISA-ADP評価として共通脆弱性評価システム(Common Vulnerability Scoring System:CVSS) v3.1の9.8(Critical)が掲載されています。ベクトルはAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hです。

つまり現在の評価では、ネットワーク経由、攻撃複雑性は低、事前権限不要、利用者操作不要で、機密性・完全性・可用性すべてに高い影響を与える可能性があるとされています。

Appleは8月6日に緊急修正

Appleは8月6日にCVE-2026-65400を修正したmacOS更新を公開しました。

macOS系列	修正版
macOS Tahoe	26.6.1以降
macOS Sequoia	15.7.9以降
macOS Sonoma	14.8.9以降

Appleの公式セキュリティ情報では、影響について「ネットワーク上の攻撃者が有効な資格情報なしでScreen Sharingへ認証できる可能性がある」と説明しています。

原因についてAppleが公表している説明は限定的で、「状態管理を改善することで認証問題へ対処した」という内容です。つまり、メモリ破壊やバッファーオーバーフローではなく、認証処理における状態管理上の問題として修正されています。

Appleは発見者として、Alfredo Pesoli氏(@__rev)をBynario Atlas経由でクレジットしています。

NVDが示す影響範囲では、macOS Sonoma 14.0以上14.8.9未満、Sequoia 15.0以上15.7.9未満、Tahoe 26.0以上26.6.1未満が脆弱な構成として登録されています。

Screen Sharingとは何か

Screen Sharingは、別のMacから対象Macの画面を表示し、遠隔操作できるmacOSの機能です。IT管理者による保守、別室に設置したMacの操作、サポート用途などで利用されます。

通常、このような遠隔操作機能では、接続する利用者が正しい資格情報を提示し、許可された利用者かどうかを確認する認証処理が重要になります。

CVE-2026-65400では、この認証処理に問題があり、有効な資格情報を持たないネットワーク上の攻撃者がScreen Sharingへ認証できる可能性がありました。

Appleは技術的な内部処理の詳細を公開していませんが、「improved state management」、つまり状態管理の改善によって問題を修正したと説明しています。

本記事では、公開されている概念実証(Proof of Concept:PoC)コードの具体的な使い方、認証処理を回避する通信内容、パケット構造、攻撃用コマンドなど、実際の侵入を再現できる手順は掲載しません。

NCSC-NLがインターネット上での実悪用を確認

Appleの修正版公開翌日の8月7日、NCSC-NLはCVE-2026-65400についてセキュリティアドバイザリを公開しました。

当初は実悪用の報告はありませんでしたが、その後状況が変化します。NCSC-NLは8月12日にアドバイザリを更新し、公開PoCコードが利用可能になったことと、実際の悪用が確認されたことを追記しました。一般向けの警告ページも8月13日に更新されています。

NCSC-NLが受け取った報告では、複数のシステムでポート5900がインターネットから到達可能になっており、CVE-2026-65400が実際に悪用されていました。

さらに重要なのは侵害後の結果です。NCSC-NLによると、報告されたすべての事例で攻撃者が対象Macのrootアクセスを取得し、Moneroの暗号資産マイナーを設置していました。

この情報から、CVE-2026-65400は単に「画面を一時的に閲覧できる」程度の問題として扱うべきではありません。実際の攻撃では高い権限でシステムへアクセスされ、攻撃者のソフトウェアが導入されています。

ただしNCSC-NLは、被害を受けたシステム数、攻撃者の帰属、攻撃開始時期、Moneroマイニング以外の目的で悪用されたかどうかまでは公表していません。そのため「大規模な世界的侵害」や「特定のランサムウェアグループが攻撃している」と断定する根拠はありません。

攻撃対象になるための条件

今回のニュースで最も誤解しやすいのが、影響を受けるMacの範囲です。

NCSC-NLは、実悪用が確認されたケースについて次の2条件を明示しています。

Screen Sharingが有効になっている
ポート5900がインターネットから到達可能になっている

したがって、未修正のmacOSを利用しているだけで直ちにインターネット上の任意の攻撃者から侵入されるとは限りません。

一方、企業や研究機関、Mac miniなどを遠隔管理している環境では、Screen Sharingを常時有効にし、ファイアウォールやルーターを通じて外部から接続できるよう設定しているケースがあります。そのような環境は特に優先して確認する必要があります。

また、インターネットへ直接公開していなくても、侵害済み端末などから内部ネットワークへ到達できる攻撃者が存在する場合は、Appleが説明する「ネットワーク上の攻撃者」という条件に該当する可能性があります。

そのため「ポート5900をインターネットへ公開していないから更新不要」ではなく、更新を前提としたうえで、外部公開状態をリスク評価の材料として確認するのが適切です。

CISAが8月18日にKEVへ追加

CISAは8月18日、CVE-2026-65400をKEVへ追加しました。

KEVは、単にCVSSが高い脆弱性を集めた一覧ではなく、実際の攻撃で悪用されていることをCISAが確認した脆弱性を収録するカタログです。

CISAはCVE-2026-65400について「Apple macOS Improper Authentication Vulnerability」として登録し、対応期限を2026年8月21日に設定しています。

現在の拘束的運用指令(Binding Operational Directive:BOD) 26-04では、資産のインターネット露出、KEV登録、悪用の自動化可能性、技術的影響などを基に、米国連邦政府機関がリスクに応じて迅速に脆弱性へ対応する仕組みになっています。

NVDのKEV欄でも、ベンダーの指示に従った緩和策を適用し、BOD 26-04とCISAのフォレンジックトリアージ要件へ従うよう記載されています。

この期限が日本企業へ直接適用されるわけではありません。しかし、CISAがKEVへ追加し、NCSC-NLが実悪用を確認していることから、一般企業でも通常の定期更新まで待たず優先的に対応すべき脆弱性です。

CVSS 7.1と9.8、なぜ数字が異なるのか

CVE-2026-65400を調べると、CVSS 7.1と9.8という異なる数値が見つかる可能性があります。

NCSC-NLのアドバイザリは現在もCVSS v3の7.1を掲載しています。一方、2026年8月19日時点のNVDでは、CISA-ADPによるCVSS v3.1評価として9.8(Critical)が表示されています。

NVDの変更履歴を見ると、CISA-ADPは8月6日時点では攻撃に低い権限が必要で、影響も一部に限定されるベクトルを登録していました。しかし8月14日に評価を変更し、事前権限不要(PR:N)、機密性・完全性・可用性への影響すべてをHighとする現在のベクトルへ置き換えています。

さらにCISA-ADPは、脆弱性の悪用が自動化可能で技術的影響が全面的であるとの判断へ更新し、8月18日には脆弱性の悪用状況を「active」へ変更しました。

つまり7.1と9.8は単純な記載ミスではなく、公開後に得られた情報を踏まえて評価が更新された経緯があります。本記事では、現時点のCISA-ADP評価である9.8を概要表に掲載しています。

ただし、対策優先度をCVSSの数字だけで判断するべきではありません。今回は実悪用が確認され、rootアクセス取得とマイナー設置まで報告され、CISA KEVにも登録されています。こうした実際の脅威情報の方が優先順位を判断するうえで重要です。

Appleの修正内容と未修正環境への対応

最も確実な対策は、Appleが提供する修正版以降へアップデートすることです。

macOS Tahoeは26.6.1以降、Sequoiaは15.7.9以降、Sonomaは14.8.9以降へ更新してください。Appleは、状態管理を改善し、正しい資格情報の検証が行われるように修正しています。

更新を直ちに実施できない場合は、Screen Sharingが業務上必要か確認し、不要なら無効化することが有効です。NCSC-NLも最新アップデートの適用を最優先で推奨しています。

ここで注意したいのは、VNCパスワードの変更、Screen Sharingで許可しているユーザーの削除、レガシーVNCパスワード認証の無効化だけではCVE-2026-65400の緩和策にならないことです。Huntressの技術分析によると、この問題は通常の資格情報チェックより前の認証処理で成立するため、これらの設定変更を行っても脆弱性の悪用可否には影響しません。

したがって、「Screen Sharingのパスワードを変更したので安全」と判断せず、Appleの修正版を適用するか、更新までScreen Sharing自体を無効化してください。

業務上Screen Sharingが必要な場合でも、インターネットへ直接ポート5900を公開する構成を避け、許可された管理ネットワークや安全なリモートアクセス経路の内側からのみ利用できる構成を検討してください。

ただし、ネットワーク制限はパッチの代替ではありません。内部ネットワークへ侵入された後の横展開や設定変更の可能性もあるため、最終的には修正版へ更新する必要があります。

管理者が優先して確認すべきこと

1.macOSのバージョンを確認する

Tahoe、Sequoia、Sonomaを利用しているMacについて、AppleがCVE-2026-65400を修正したバージョン以降になっているか確認してください。

2.Screen Sharingの有効状態を確認する

組織でScreen Sharingを使用している端末を洗い出します。管理目的でMac miniや共有端末に設定したままになっているケースも含めて確認してください。

3.ポート5900のインターネット公開を確認する

ファイアウォール、ルーター、クラウドのセキュリティグループ、NAT設定などを確認し、TCP 5900が不特定のインターネットから到達可能になっていないか調査してください。

4.過去に公開していた場合はログと端末を調査する

修正版適用前にScreen Sharingを外部公開していた場合は、実悪用の可能性を考慮します。更新日時だけでなく、外部アクセス履歴や端末の状態も確認してください。

5.不要な遠隔管理機能を公開しない

Screen Sharingに限らず、SSH、リモートデスクトップ、管理コンソールなどの遠隔管理機能は、必要性を確認したうえでアクセス元を制限することが重要です。

今回のニュースで誤解しやすい点

第一に、CVE-2026-65400は研究者によるPoCだけの問題ではありません。NCSC-NLが実悪用を確認し、CISAもKEVへ追加しています。

第二に、すべてのMacがインターネットから直ちに攻撃されるわけではありません。NCSC-NLが確認した実悪用環境ではScreen Sharingが有効で、ポート5900がインターネットから到達可能でした。

第三に、Appleは「有効な資格情報なしでScreen Sharingへ認証できる可能性」と説明しています。Apple自身が公式アドバイザリで「root RCE」と表現しているわけではありません。rootアクセス取得とMoneroマイナー設置はNCSC-NLが実際の攻撃事例として報告している内容です。

第四に、CVSS 7.1と9.8の両方が流通しています。NCSC-NLのアドバイザリは7.1を掲載していますが、現在のNVDではCISA-ADPの再評価による9.8が表示されています。

第五に、修正版へ更新すれば今後のCVE-2026-65400悪用は防げますが、すでにrootアクセスを取得されていた端末の侵害状態を自動的に解消するものではありません。外部公開していた未修正端末は侵害調査も検討してください。

まとめ

CVE-2026-65400は、macOSのScreen Sharingに存在する認証の脆弱性です。Appleは、ネットワーク上の攻撃者が有効な資格情報なしでScreen Sharingへ認証できる可能性があるとして、8月6日にTahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9で修正しました。

その後NCSC-NLは、Screen Sharingが有効でポート5900がインターネットから到達可能だった複数システムで実悪用を確認しました。報告された事例ではrootアクセスが取得され、Moneroの暗号資産マイナーが設置されています。

CISAも8月18日にCVE-2026-65400をKEVへ追加し、対応期限を8月21日に設定しました。現在のNVDではCISA-ADPによるCVSS v3.1評価も9.8(Critical)へ更新されています。

macOSを管理する組織は、Appleの修正版以降へ速やかに更新し、Screen Sharingが必要な端末だけで有効になっているか、TCPポート5900がインターネットへ直接公開されていないか確認してください。

特に修正版公開前からScreen Sharingを外部公開していた環境では、パッチ適用だけでなく、過去の接続履歴や端末状態を確認し、侵害の兆候があればインシデント対応として調査することが重要です。