هشدار امنیتی جدی: آسیب‌پذیری جدید macOS کنترل کامل سیستم را در اختیار مهاجمان قرار می‌دهد

در دنیای امنیت سایبری، کشف یک آسیب‌پذیری که اجازه می‌دهد مهاجمان بدون داشتن هیچ‌گونه اعتبارنامه‌ای، کنترل کامل یک سیستم را به‌دست آورند، همواره یک وضعیت بحرانی محسوب می‌شود. اخیراً گزارش‌های منتشر شده از شناسایی یک آسیب‌پذیری با شدت بالا در سیستم‌عامل macOS خبر می‌دهند که در حال حاضر به‌طور فعال توسط مهاجمان مورد سوءاستفاده قرار گرفته است. این نقص امنیتی که با شناسه CVE-2026-65400 شناخته می‌شود، در ویژگی Screen Sharing سیستم‌عامل macOS وجود دارد و به مهاجمان اجازه می‌دهد تا محدودیت‌های احراز هویت را دور زده و دسترسی کامل سطح root را به سیستم‌های هدف کسب کنند [S1, S2, S5].

مقامات امنیتی، از جمله مرکز ملی امنیت سایبری هلند (NCSC)، تأیید کرده‌اند که مهاجمان از این آسیب‌پذیری برای استقرار استخراج‌کننده‌های ارز دیجیتال Monero بر روی ماشین‌های آلوده استفاده می‌کنند [S1]. در پاسخ به این تهدید جدی، شرکت Apple وصله‌های اضطراری را برای چندین نسخه از macOS منتشر کرده است تا این شکاف امنیتی بحرانی را برطرف کند [S2, S5].

تحلیل فنی آسیب‌پذیری CVE-2026-65400

مکانیسم عملکرد نقص امنیتی

آسیب‌پذیری CVE-2026-65400 با امتیاز شدت ۷.۱ از ۱۰ طبقه‌بندی شده است [S1]. ریشه اصلی این نقص در یک باگ مربوط به مدیریت وضعیت (state management bug) [S1] یا یک باگ منطقی (logic bug) [S2] در سرویس Screen Sharing سیستم‌عامل macOS نهفته است. به‌طور دقیق‌تر، این آسیب‌پذیری از نحوه ردیابی رویدادهای سیستم، متغیرها و وضعیت‌های اتصال (connection states) توسط این سرویس ناشی می‌شود [S1, S2].

این نقص به مهاجمانی که در شبکه با سیستم آسیب‌پذیر در ارتباط مستقیم هستند (line-of-sight)، اجازه می‌دهد تا از پروتکل Remote Framebuffer بهره‌برداری کنند [S2, S5]. با دستکاری در نحوه تصمیم‌گیری این سرویسِ مبتنی بر وضعیت (stateful service) درباره اینکه آیا یک کلاینت قبلاً هویت خود را اثبات کرده است یا خیر، مهاجم می‌تواند مرحله احراز هویت را به‌طور کامل نادیده بگیرد [S2]. این فرآیند منجر به دور زدن کامل احراز هویت (authentication bypass) می‌شود؛ به این معنا که مهاجم می‌تواند بدون نیاز به رمز عبور، نشست (session) معتبر یا هرگونه اعتبارنامه قبلی، وارد سیستم شود [S2, S5].

دامنه تأثیرگذاری

اگرچه این آسیب‌پذیری مستقیماً ویژگی Screen Sharing را هدف قرار می‌دهد، اما پیامدهای آن به ویژگی Remote Management نیز سرایت می‌کند. از آنجایی که Remote Management مجموعه‌ای گسترده‌تر از کنترل‌ها (superset of controls) است که شامل Screen Sharing نیز می‌شود، هر سیستمی که هر یک از این دو سرویس در آن فعال باشد، به‌طور بالقوه در معرض خطر قرار دارد [S5].

پیامدهای فنی به‌دست آوردن دسترسی از طریق این نقص بسیار شدید است. پس از اینکه مهاجم موفق به بهره‌برداری از این آسیب‌پذیری شد، می‌تواند اقدامات زیر را انجام دهد:

• دسترسی کامل سطح root را به دستگاه macOS به‌دست آورد [S1, S2].
• فایل‌هایی با امتیازات root ایجاد کند [S2].
• یک سیاست sudoers معتبر را اعمال کند تا کنترل خود را بر سیستم تثبیت نماید [S2].
• دستورات root را از راه دور اجرا کند [S2].

الگوهای مشاهده‌شده در بهره‌برداری از آسیب‌پذیری

سوءاستفاده فعال و محموله‌های مخرب

این آسیب‌پذیری صرفاً یک تهدید تئوریک نیست، بلکه در حال حاضر به‌طور فعال در محیط‌های واقعی مورد سوءاستفاده قرار گرفته است [S1, S2, S5]. مرکز ملی امنیت سایبری هلند (NCSC) گزارش داده است که سوءاستفاده از این نقص در سیستم‌های متعددی مشاهده شده است [S1].

یکی از شاخص‌های اصلی نفوذ (IoC) و الگوی بهره‌برداری این است که مهاجمان سیستم‌های Mac را هدف قرار می‌دهند که پورت 5900 آن‌ها در معرض دسترسی مستقیم اینترنت قرار دارد [S1, S2]. در تمامی موارد مشاهده‌شده از این نوع بهره‌برداری خاص، مهاجمان موفق به کسب دسترسی root شده و متعاقباً استخراج‌کننده‌های ارز دیجیتال Monero را روی ماشین‌های آلوده نصب کرده‌اند [S1, S2, S5].

افشاگری و تحقیقات

جزئیات مربوط به این آسیب‌پذیری در جریان کنفرانس امنیتی Black Hat به صورت عمومی منتشر شد [S1]. این نقص ابتدا توسط محققان شرکت Bynario گزارش شد [S2] و همچنین توسط محقق امنیتی Alfredo Pesoli شناسایی گردید [S2].

سیستم‌های آسیب‌پذیر و جدول زمانی وصله‌گذاری

شرکت Apple اقدامات قابل توجهی برای مقابله با این آسیب‌پذیری انجام داده و وصله‌های امنیتی را برای سه نسل اصلی macOS منتشر کرده است. این وصله‌ها در تاریخ ۶ اوت ۲۰۲۶ عرضه شده‌اند [S2, S5].

نسخه‌های آسیب‌پذیر و نسخه‌های اصلاح‌شده

برای ایمن‌سازی محیط‌های کاری، مدیران سیستم باید اطمینان حاصل کنند که دستگاه‌های Mac به نسخه‌های مشخص زیر به‌روزرسانی شده‌اند:

• macOS Tahoe: نسخه اصلاح‌شده 26.6.1 [S2, S5]
• macOS Sequoia: نسخه اصلاح‌شده 15.7.9 [S2, S5]
• macOS Sonoma: نسخه اصلاح‌شده 14.8.9 [S2, S5]

تصمیم Apple برای انتشار هم‌زمان وصله برای سه نسل مختلف از سیستم‌عامل، نشانه‌ای از شدت و وخامت این نقص امنیتی تلقی می‌شود [S2].

زمینه مقایسه‌ای آسیب‌پذیری‌ها

این آسیب‌پذیری در پی یک رویداد امنیتی مشابه در اواخر ماه جولای رخ داده است که مربوط به CVE-2026-43760 بود؛ یک باگ مجزا در Screen Sharing که Apple در ابتدا شدت آن را ۵.۵ ارزیابی کرده بود [S2]. باگ قبلی نیز شامل نقص در بررسی اعتبارنامه‌ها بود که نشان می‌دهد یک الگوی تکرار شونده از مشکلات در معماری سرویس Screen Sharing وجود دارد [S2].

توصیه‌های مربوط به کاهش ریسک و پاسخ به حوادث

برای محیط‌های تجاری (B2B) و مدیران IT، انجام اقدامات فوری جهت جلوگیری از دسترسی از راه دور غیرمجاز و حملات احتمالی کریپتو-جکینگ (crypto-jacking) ضروری است.

اقدامات فنی فوری برای کاهش ریسک

۱. اعمال به‌روزرسانی‌های امنیتی: نسخه‌های به‌روزرسانی شده macOS (شامل Tahoe 26.6.1، Sequoia 15.7.9 یا Sonoma 14.8.9) را بلافاصله نصب کنید [S2, S5]. توجه داشته باشید که نصب و راه‌اندازی نهایی این به‌روزرسانی‌ها مستلزم داشتن رمز عبور کاربر است [S5]. ۲. مقاوم‌سازی شبکه: تمام دسترسی‌های اینترنتی به پورت 5900 را مسدود کنید تا از دسترسی مهاجمان از راه دور به سرویس Screen Sharing جلوگیری شود [S2]. ۳. غیرفعال کردن سرویس‌های بلااستفاده: اگر سرویس‌های Screen Sharing یا Remote Management برای عملیات تجاری مورد نیاز نیستند، آن‌ها را به‌طور کامل غیرفعال کنید [S2, S5]. این کار از طریق مسیر زیر امکان‌پذیر است:

• در بخش تنظیمات سیستم: به مسیر Apple Menu > System Settings > General > Sharing بروید و هر دو گزینه "Screen Sharing" و "Remote Management" را غیرفعال کنید [S5]. ۴. حسابرسی دسترسی‌های راه دور: تمامی حساب‌هایی که دارای امتیازات دسترسی از راه دور هستند را بررسی کرده و حساب‌های غیرضروری یا بلااستفاده را حذف کنید [S3].

مدیریت سازمانی (برای مدیران Jamf)

سازمان‌هایی که از ابزار Jamf برای مدیریت نقاط پایانی (endpoints) استفاده می‌کنند، می‌توانند ریسک را از راه دور با روش‌های زیر کاهش دهند:

• ارسال دستور "Disable Remote Desktop" به دستگاه‌های Mac به‌صورت انفرادی [S5].
• ایجاد گروهی از دستگاه‌های Mac آسیب‌پذیر و صدور دستور "Disable Remote Desktop" به صورت یک اقدام دسته‌جمعی (Mass Action) برای کل گروه [S5].

نظارت و شناسایی

تیم‌های امنیتی باید نسبت به موارد زیر هوشیار باشند:

• نشست‌های (sessions) از راه دور غیرمنتظره [S3].
• ایجاد فایل‌ها یا تغییرات غیرمجاز در سیاست‌های سیستم (مانند فایل sudoers) [S2].
• استفاده غیرعادی از منابع سیستم که می‌تواند نشان‌دهنده حضور استخراج‌کننده‌های Monero باشد [S1, S5].