Uma falha de autenticação no Compartilhamento de Tela do macOS, catalogada como CVE-2026-65400, está sendo explorada ativamente por criminosos pra invadir Macs sem precisar de senha e instalar um minerador da criptomoeda Monero. A Apple já corrigiu o problema em 6 de agosto, mas o alerta de exploração ativa só ganhou força nos últimos dias. Veja como funciona o ataque, quem está exposto e como se proteger agora.
Resposta rápida
A falha CVE-2026-65400 permite que um atacante se autentique no Compartilhamento de Tela do macOS sem senha válida, desde que o recurso esteja ligado e acessível pela internet. A Apple corrigiu em 06/08/2026 no macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. Para se proteger, atualize o macOS agora ou desligue o Compartilhamento de Tela em Ajustes do Sistema > Geral > Compartilhamento.
O essencial
- Falha: CVE-2026-65400, no Compartilhamento de Tela do macOS
- Corrigida em: 06/08/2026 (macOS Tahoe 26.6.1, Sequoia 15.7.9, Sonoma 14.8.9)
- Exploração ativa confirmada: a partir de 12/08/2026, segundo o CERT da Holanda (NCSC)
- O que instala: minerador de Monero, usando o processamento do Mac invadido
- Quem está exposto: só quem tem o Compartilhamento de Tela ligado e acessível pela internet
O que é a falha CVE-2026-65400
Segundo o documento oficial de conteúdo de segurança do macOS Tahoe 26.6.1, a Apple descreve o problema como “um problema de autenticação, corrigido com melhor gerenciamento de estado” no Compartilhamento de Tela, o recurso nativo do Mac que permite controlar o computador remotamente pela rede. Na prática, um atacante que consegue alcançar esse serviço pela internet pode se autenticar sem ter a senha correta, como se tivesse encontrado uma porta destrancada mesmo com a fechadura instalada.
A correção não é exclusiva do macOS Tahoe: a mesma falha foi fechada também no macOS Sequoia 15.7.9 e no macOS Sonoma 14.8.9, ou seja, afeta as três versões do sistema ainda suportadas pela Apple, não só a mais recente.
Como o ataque funciona na prática
O índice oficial de releases de segurança da Apple registra a correção em 6 de agosto, mas o alerta de exploração ativa veio depois: o Centro Nacional de Segurança Cibernética da Holanda (NCSC) publicou um primeiro aviso em 7 de agosto e elevou a gravidade em 12 de agosto, quando surgiu código de prova de conceito público e passou a haver ataques automatizados em escala.
O mecanismo é direto: criminosos varrem a internet em busca de Macs com a porta 5900 (a porta padrão do Compartilhamento de Tela) acessível de fora da rede local. Ao encontrar um alvo, exploram a falha de autenticação, entram com privilégio total do sistema (root) e instalam, sem que a vítima perceba, um programa de mineração da criptomoeda Monero, que passa a usar o processador do Mac pra gerar lucro pro invasor.
É um tipo de ataque diferente da maioria do que cobrimos aqui: não depende de a vítima clicar num link malicioso ou instalar um app falso. É uma falha de rede, explorada direto no serviço exposto, sem interação nenhuma de quem está sendo atacado.
Quem está realmente exposto
Nem todo usuário de Mac corre risco igual. Três condições precisam se somar pra a falha ser explorável:
- O Compartilhamento de Tela estar ativado em Ajustes do Sistema > Geral > Compartilhamento (por padrão, vem desligado).
- A porta 5900 estar acessível pela internet, o que normalmente só acontece se alguém configurou redirecionamento de porta no roteador, ou se o Mac está numa rede corporativa/servidor exposto de propósito.
- O macOS ainda não ter recebido a atualização de 6 de agosto (Tahoe 26.6.1, Sequoia 15.7.9 ou Sonoma 14.8.9).
Quem usa o Mac numa rede doméstica comum, sem mexer em configuração de roteador, e nunca ativou o Compartilhamento de Tela, não está exposto por esse caminho específico. Ainda assim, atualizar o sistema continua sendo a recomendação, porque cada atualização de segurança fecha outras falhas além dessa.
Como se proteger
- Atualize o macOS agora em Ajustes do Sistema > Geral > Atualização de Software, garantindo pelo menos o Tahoe 26.6.1, o Sequoia 15.7.9 ou o Sonoma 14.8.9.
- Se não puder atualizar na hora, desligue o Compartilhamento de Tela em Ajustes do Sistema > Geral > Compartilhamento até conseguir instalar a atualização.
- Confira se sua rede redireciona a porta 5900 pro seu Mac; se você não configurou isso de propósito (e a maioria das pessoas não configura), desative o redirecionamento no roteador.
- Ative a verificação em duas etapas na conta Apple, como camada extra de proteção geral, mesmo não sendo específica pra esta falha.
Sinais de que o Mac pode já estar infectado
Mineração de criptomoeda consome processamento de forma constante e visível. Abra o Monitor de Atividade (pelo Spotlight) e observe a aba CPU: ventoinha ligando com frequência, computador esquentando e ficando lento mesmo com poucos programas abertos, e processos desconhecidos consumindo CPU alta de forma contínua são os sinais mais comuns. Encontrou algo suspeito? Force o encerramento do processo pelo Monitor de Atividade, atualize o sistema imediatamente e, por segurança, troque as senhas salvas no Mac.
O que isso significa pra você
Se você nunca mexeu no Compartilhamento de Tela nem na configuração do roteador, o risco direto desta falha específica é baixo. Mas ela ilustra um ponto que vale pra qualquer Mac: qualquer serviço de acesso remoto ligado e exposto à internet é um alvo constante de varredura automatizada, não só quando vira notícia. A atualização de segurança que corrige isso já está disponível; instalar agora custa menos que descobrir depois que o processador do seu Mac estava trabalhando pra outra pessoa.
Perguntas frequentes
O que é o Compartilhamento de Tela do macOS?
É o recurso nativo do Mac que permite controlar o computador remotamente pela rede, parecido com um Área de Trabalho Remota do Windows. Fica em Ajustes do Sistema > Geral > Compartilhamento e, por padrão, vem desligado.
Meu Mac está vulnerável mesmo sem eu ter ativado o Compartilhamento de Tela?
Não. A falha só afeta quem tem o recurso ligado. Se você nunca ativou o Compartilhamento de Tela em Ajustes do Sistema > Geral > Compartilhamento, não está exposto por esse caminho.
Como sei se meu Mac já está com o minerador instalado?
Abra o Monitor de Atividade (Spotlight > “Monitor de Atividade”) e veja a aba CPU: uso muito alto e constante, mesmo com poucos apps abertos, é o principal sinal. Processos com nome estranho ou desconhecido na lista também merecem investigação.
Só atualizar o macOS já resolve?
Sim, atualizar pra macOS Tahoe 26.6.1, Sequoia 15.7.9 ou Sonoma 14.8.9 (ou mais recente) corrige a falha de autenticação. Quem não pode atualizar na hora deve, no mínimo, desligar o Compartilhamento de Tela até conseguir instalar a atualização.
Preciso ter feito algo errado, tipo clicar num link, pra ser afetado?
Não. Diferente da maioria dos golpes que dependem de a vítima clicar num link ou abrir um arquivo, esta falha é explorada direto pela rede, sem nenhuma ação da vítima, bastando o Compartilhamento de Tela estar ligado e acessível pela internet.
Meu roteador doméstico normal deixa meu Mac exposto assim?
Na configuração padrão da maioria dos roteadores domésticos, não: o Mac fica atrás do NAT e não é alcançável diretamente da internet. O risco maior é em redes onde alguém configurou redirecionamento de porta (port forwarding) pra porta 5900, ou em Macs usados como servidor/acesso remoto constante.
Quem descobriu essa falha?
O pesquisador de segurança Alfredo Pesoli, conhecido como @__rev, do grupo Bynario Atlas, reportou a vulnerabilidade à Apple antes da exploração em massa começar.
