Una vulnerabilidad de alta gravedad en macOS está siendo explotada de forma activa para permitir a atacantes remotos ejecutar código malicioso y tomar control total de ordenadores Mac. Según advirtió esta semana el Centro Nacional de Seguridad Cibernética de los Países Bajos (NCSC), el fallo se ha observado en múltiples sistemas donde el puerto 5900 era accesible desde Internet.
«El NCSC ha recibido notificaciones que indican que se ha observado abuso activo de esta vulnerabilidad en múltiples sistemas en los que el puerto 5900 era accesible desde Internet», señaló la agencia holandesa. «En todos estos casos, se había accedido como root al sistema afectado y se había instalado un minero de criptomonedas Monero».
Fallo en la gestión de estado del sistema de pantalla compartida
La vulnerabilidad, catalogada como CVE-2026-65400, recibió un parche de Apple la semana pasada para las versiones macOS Tahoe, Sequoia y Sonoma. Con una calificación de gravedad de 7,1 sobre 10, el fallo reside en la capacidad de pantalla compartida de macOS, que permite a una parte remota ver la pantalla y controlar el teclado y ratón mientras el equipo está encendido.
El problema radica en un error en la «gestión de estado» del sistema, que mantiene un registro de eventos precedentes, interacciones del usuario, variables y otros estados del sistema. Los detalles técnicos de CVE-2026-65400 se hicieron públicos en la conferencia de seguridad Black Hat la semana pasada, donde se presentó un vídeo demostrando el exploit en acción.
Apple indicó que CVE-2026-65400 «puede» permitir a un atacante sin credenciales obtener acceso a un Mac, aunque no está claro por qué la compañía utilizó lenguaje ambiguo en su aviso de seguridad.
Puerto 5900 expuesto, puerta abierta a los atacantes
Como señaló el NCSC holandés, la vulnerabilidad está siendo explotada cuando el puerto 5900 se encuentra expuesto a Internet. Cuando la pantalla compartida está activada, el cortafuegos de macOS abre automáticamente este puerto. Los routers y cortafuegos dedicados generalmente bloquean el puerto salvo que se configure para anular ese ajuste.
Los expertos en seguridad recomiendan mantener el puerto cerrado incluso cuando se utiliza pantalla compartida, optando en su lugar por conectarse a través de VPN o túneles SSH. Sin embargo, estas alternativas requieren acciones que están fuera del alcance de la mayoría de usuarios.
La práctica más segura consiste en bloquear la pantalla compartida, activarla únicamente cuando sea necesario y desactivar la función una vez finalizada la sesión. Para controlar esta configuración, los usuarios pueden acceder a Ajustes del Sistema > General > Compartir y alternar el interruptor de Pantalla Compartida. Instalar la actualización de seguridad publicada la semana pasada es también imprescindible.
Mineros de criptomonedas, pero podría ser peor
Según informó Ars Technica, por el momento no existen indicios de que los exploits se estén utilizando para instalar nada más que mineros de Monero, que aprovechan subrepticiamente los recursos del Mac para realizar operaciones matemáticas que generan criptomonedas para el atacante.
El riesgo mayor, sin embargo, es que los atacantes puedan explotar la vulnerabilidad para instalar malware que robe credenciales o realice actividades más perjudiciales. La facilidad con la que se obtiene acceso root —el nivel más alto de privilegios en el sistema— convierte este fallo en una amenaza significativa para usuarios que mantengan activa la pantalla compartida sin las debidas precauciones.
