O seu Mac tem partilha de ecrã ligada? Há quem esteja a minar cripto nele

Uma falha de autenticação no serviço de Partilha de Ecrã (Screen Sharing) do macOS, corrigida pela Apple a 6 de agosto de 2026, está a ser explorada em ataques reais. O Centro Nacional de Cibersegurança dos Países Baixos (NCSC-NL) atualizou o seu aviso para confirmar que recebeu relatos de abuso ativo do CVE-2026-65400 contra máquinas com a porta TCP 5900 exposta à Internet, com obtenção de privilégios de root e instalação de mineradores de criptomoeda Monero. A vulnerabilidade permite a um atacante na rede autenticar-se sem credenciais válidas, e o código de exploração já é público.

O que é o CVE-2026-65400 e porque é grave

A Partilha de Ecrã é a funcionalidade nativa de controlo remoto do macOS, que opera sobre o protocolo VNC na porta TCP 5900. Normalmente, quem se liga tem de apresentar credenciais válidas do sistema. Com o CVE-2026-65400, um atacante consegue autenticar-se sem credenciais válidas, bastando que a Partilha de Ecrã esteja ativa e que a porta 5900 esteja acessível.

A Apple descreve o problema de forma sóbria: um atacante na rede pode conseguir autenticar-se na Partilha de Ecrã sem credenciais válidas, tendo a empresa caracterizado a falha como um problema de autenticação resolvido com melhor gestão de estado. A investigação independente é mais explícita quanto ao impacto. A Huntress refere que o CVE-2026-65400 explora uma falha na implementação do Secure Remote Password (SRP) pelo serviço de Partilha de Ecrã e permite execução remota de código pré-autenticação em todas as versões suportadas do macOS. Uma análise técnica adicional documenta capacidades de leitura e escrita arbitrária de ficheiros através dos auxiliares privilegiados de transferência de ficheiros da Partilha de Ecrã e várias vias possíveis para execução remota de código.

Nota importante para quem gere frotas de Mac: existe uma segunda falha, distinta, no mesmo serviço. A Apple lançou correções a 27 de julho e a 6 de agosto de 2026 para vulnerabilidades no serviço de Partilha de Ecrã do macOS — o CVE-2026-43760 e o CVE-2026-65400 —, fáceis de confundir mas que diferem no essencial: saber se o atacante precisa ou não de credenciais. Só as atualizações de agosto fecham o problema pré-autenticação.

Cronologia do caso

A sequência é reveladora. A vulnerabilidade foi encontrada pela empresa Bynario, que anunciou publicar um exploit de prova de conceito mais tarde para dar tempo às atualizações; a 8 de agosto outra empresa afirmou ter feito engenharia inversa à correção da Apple e a 10 de agosto divulgou detalhes técnicos, num contexto em que cerca de quarenta mil Macs com Partilha de Ecrã ativa estariam acessíveis a partir da Internet. A Apple credita a descoberta a Alfredo Pesoli, via Bynario Atlas.

O que dizem os ataques observados

Numa atualização ao aviso inicial, a agência neerlandesa indicou ter recebido um relato de exploração real em ataques onde a porta 5900 está exposta à Internet, com o atacante a obter acesso root e a instalar um minerador de criptomoeda Monero. Na formulação do próprio organismo, o abuso ativo foi observado “em múltiplos sistemas” com a porta 5900 acessível a partir da Internet e, em todos esses casos, foi obtido acesso root e colocado um minerador de Monero.

Há limites claros no que é hoje verificável. O NCSC-NL não divulgou pormenores sobre os ataques, quando começaram, se vão além da mineração de criptomoeda ou quantos sistemas foram afetados. Não existem, até ao momento, indicadores de compromisso (IOCs) públicos associados a esta campanha, pelo que qualquer lista de hashes ou domínios que circule deve ser tratada com ceticismo. Também não encontrámos, à data de publicação, referência a esta vulnerabilidade nas adições ao catálogo Known Exploited Vulnerabilities anunciadas pela CISA a 3 e a 11 de agosto de 2026, que listaram outros produtos.

Na prática, o padrão observado — acesso não autenticado seguido de mineração — é típico de exploração oportunista e automatizada. Um minerador é frequentemente o “aluguer” mais barato de um sistema comprometido; o mesmo acesso root serve igualmente para exfiltração de dados, persistência ou movimento lateral.

Versões afetadas e correções

A Apple lançou as correções a 6 de agosto de 2026 no macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 e macOS Sonoma 14.8.9. Estas são as únicas versões que resolvem totalmente a falha pré-autenticação.

Mitigação: o que fazer hoje

• Atualizar sem exceções. Atualize todos os dispositivos macOS, mesmo que não julgue ter a Partilha de Ecrã ativa.
• Desativar a funcionalidade se não patchar já. Quando a atualização não é imediata, é possível desativar a Partilha de Ecrã em Definições do Sistema (Geral → Partilha → Partilha de Ecrã).
• Não confiar em endurecimento parcial. Por se tratar de uma falha pré-autenticação, as medidas habituais não ajudam: remover contas autorizadas, desativar a autenticação por palavra-passe VNC antiga ou rodar essa palavra-passe não têm efeito.
• Fechar a porta 5900 no perímetro. Bloqueie o acesso à porta a partir da Internet e exija VPN ou acesso condicionado para administração remota de Macs.
• Rever inventário e Macs alojados. Identifique máquinas com Partilha de Ecrã ativa, verifique se o serviço é alcançável a partir de redes não fidedignas e dê atenção especial a hardware Apple alojado e a sistemas administrados remotamente.
• Cuidado com imagens de provisionamento. Alguns fornecedores de Mac alojado não integraram ainda as atualizações nas imagens base, expondo à Internet máquinas recém-provisionadas em versões vulneráveis, e as imagens de restauro mais recentes para Sequoia e Sonoma terminam em 15.6.1 e 14.6.1 — ou seja, qualquer equipamento criado a partir delas nasce vulnerável até ser atualizado.
• Procurar sinais de compromisso. Em máquinas expostas, verifique processos com consumo anómalo de CPU, tarefas launchd/LaunchDaemons desconhecidas, contas criadas recentemente e ligações de saída para pools de mineração.

Porque é que isto importa em Portugal

O parque de Macs em Portugal cresceu de forma expressiva em agências criativas, estúdios de desenvolvimento, media e startups — precisamente os ambientes onde a administração remota de estações de trabalho é comum e onde, por conveniência, se expõem serviços diretamente à Internet. É esse o cenário exato que os atacantes estão a procurar.

Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2), um caso destes toca em obrigações concretas: gestão de vulnerabilidades e de atualizações, controlo de acessos remotos, monitorização e, quando aplicável, notificação de incidentes ao CNCS. O CERT.PT mantém canais de comunicação e alerta para vulnerabilidades ativamente exploradas, e é a referência nacional a acompanhar sempre que surge exploração real de uma falha com este perfil.

Há ainda a dimensão de proteção de dados. Um acesso com privilégios de root não fica limitado à mineração: dá visibilidade sobre ficheiros, credenciais e sessões abertas. Se dessa intrusão resultar acesso indevido a dados pessoais, aplicam-se as obrigações do RGPD em matéria de violação de dados, incluindo a avaliação de risco e a eventual notificação à CNPD no prazo de 72 horas. Para PME sem equipa de segurança dedicada, a mensagem operacional é simples: atualizar todos os Macs para as versões de 6 de agosto e garantir que nenhum serviço de administração remota está diretamente exposto à Internet.

Perguntas frequentes

O meu Mac está vulnerável se nunca usei a Partilha de Ecrã?

O risco de exploração remota depende de o serviço estar ativo e alcançável. Ainda assim, os investigadores recomendam atualizar todos os equipamentos macOS, mesmo quando se julga que a Partilha de Ecrã está desligada, porque a configuração real nem sempre corresponde ao esperado, sobretudo em máquinas geridas ou provisionadas a partir de imagens antigas.

Mudar a palavra-passe de VNC resolve o problema?

Não. Por se tratar de uma falha explorável antes da autenticação, medidas como remover contas autorizadas, desativar a autenticação VNC antiga ou rodar a palavra-passe não têm efeito. A única correção completa é instalar as atualizações de 6 de agosto de 2026 ou desativar o serviço.

Como sei se o meu Mac foi usado para minar criptomoeda?

Sinais típicos incluem consumo elevado e persistente de CPU sem justificação, ventoinhas sempre ativas, perda de desempenho, processos desconhecidos e tarefas de arranque automático que não reconhece. Em ambiente organizacional, deve ainda procurar ligações de saída para pools de mineração e revisões de contas locais criadas recentemente.

Já existem indicadores de compromisso publicados?

Até à data desta publicação não são conhecidos indicadores técnicos oficiais desta campanha, uma vez que a autoridade que reportou os ataques não divulgou detalhes sobre os sistemas afetados nem sobre o momento em que a exploração começou. Recomenda-se acompanhar os avisos oficiais e desconfiar de listas de IOCs sem fonte identificada.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Apple, pelo NCSC dos Países Baixos e por investigadores de segurança.