#Netzwerk & Sicherheit · 4 Min. Lesezeit · Tim Rinkel

ROOT OHNE PASSWORT! Diese Mac-Lücke öffnet Fremden dein System — und schürft heimlich Kryptogeld

ROOT OHNE PASSWORT! Diese Mac-Lücke öffnet Fremden dein System — und schürft heimlich Kryptogeld

Es gibt Sicherheitslücken, die kompliziert sind. Und es gibt die hier. CVE-2026-65400 steckt im Dienst hinter der macOS-Bildschirmfreigabe und macht das, was eigentlich nie passieren darf: Sie lässt jemanden herein, der kein Passwort hat — und zwar direkt mit vollen Systemrechten.

SCHOCK: Kein Konto, kein Passwort, kein Klick

Für einen Angriff braucht es weder ein gültiges macOS-Benutzerkonto noch ein VNC-Passwort noch irgendeine Handlung des Besitzers. Ein Angreifer, der den Rechner über das Netzwerk erreicht, redet direkt mit dem Dienst screensharingd und landet mit Root-Rechten auf dem System. Die Bewertung wurde entsprechend auf CVSS 9.8 angehoben.

Genau darum ist die Lücke so bequem für Kriminelle: Sie brauchen keine Phishing-Mail und keinen unvorsichtigen Nutzer. Sie brauchen nur einen Mac, dessen Port 5900 im offenen Netz hängt.

Was die Angreifer damit machen: Monero schürfen

Das niederländische Nationale Cyber Security Centrum meldete am 12. August aktive Ausnutzung. Das Muster war in allen gemeldeten Fällen gleich: Die Angreifer holten sich Root-Rechte und installierten einen Rechner zum Schürfen der Kryptowährung Monero.

Das klingt vergleichsweise harmlos — ist es aber nicht. Erstens frisst so ein Miner dauerhaft Rechenleistung und Strom; ein Mac mini als stiller Server im Homelab wird spürbar langsamer und deutlich wärmer. Zweitens, und das wiegt schwerer: Wer einen Miner installieren kann, kann alles andere auch. Der Zugang war da. Was sonst noch mitgenommen wurde, weiß man erst nach genauem Hinsehen.

Die Updates sind seit Anfang August da

Apple hat die Lücke am 6. August 2026 geschlossen. Repariert ist sie in:

  • macOS Tahoe 26.6.1
  • macOS Sequoia 15.7.9
  • macOS Sonoma 14.8.9

CISA hat den Schweregrad am 14. August von 7.1 auf 9.8 hochgestuft und die Lücke am 18. August in den Katalog der bekannt ausgenutzten Schwachstellen aufgenommen. Die Frist für US-Behörden lief am 21. August ab. Übersetzt: Das ist keine theoretische Gefahr mehr, das läuft.

So bist du in 5 MINUTEN auf der sicheren Seite

  1. Update einspielen. Systemeinstellungen → Allgemein → Softwareupdate. Auch ältere, noch gepflegte Systeme haben eine passende Version bekommen.
  2. Bildschirmfreigabe prüfen. Systemeinstellungen → Allgemein → Freigabe. Brauchst du sie nicht, schalte sie ab. Das ist die einzige wirklich vollständige Lösung.
  3. Router kontrollieren. Sieh in deiner Fritzbox oder deinem Router nach, ob eine Portfreigabe auf 5900 existiert. Falls ja: entfernen.
  4. Fernzugriff über VPN. Wenn du wirklich von unterwegs auf den Mac schauen willst, führt der Weg über WireGuard oder Tailscale — nicht über eine offene Portfreigabe.
  5. Nachsehen. Läuft die Aktivitätsanzeige seit Wochen auf Anschlag, ohne dass du etwas tust? Prüfe Prozesse mit hoher Prozessorlast und die Anmeldeobjekte.

EXTRA-TIPP: Auch im Homelab gilt die Regel

Ein alter Mac mini als Medienserver oder Buildmaschine ist im Homelab beliebt — und wird gern genauso behandelt wie ein Linux-Server: Port auf, fertig. Diese Lücke ist die Erinnerung daran, dass Fernwartungsdienste generell nichts im offenen Internet zu suchen haben. Weder VNC noch RDP noch die macOS-Bildschirmfreigabe.

FAZIT: Update und Port zu

Die Reparatur ist längst verfügbar, der Aufwand liegt bei wenigen Minuten. Wer eine Portfreigabe auf 5900 betreibt und noch nicht aktualisiert hat, sollte davon ausgehen, dass sein System bereits gefunden wurde.

Häufige Fragen

Welche macOS-Versionen sind betroffen?
Verwundbar sind Systeme unterhalb von macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9. Apple hat die Korrekturen am 6. August 2026 veröffentlicht. Wer sein System seither regulär aktualisiert hat, ist versorgt.
Bin ich betroffen, wenn die Bildschirmfreigabe aus ist?
Nein. Der angreifbare Dienst läuft nur, wenn die Bildschirmfreigabe aktiviert ist. Trotzdem ist das Update sinnvoll: Ein versehentliches Einschalten oder eine Software, die den Dienst aktiviert, reicht sonst aus, um die Lücke wieder scharf zu machen.
Wie erkenne ich, ob mein Mac bereits kompromittiert ist?
Typisches Anzeichen ist dauerhaft hohe Prozessorlast durch einen unbekannten Prozess, oft mit unauffälligem Namen. Prüfe die Aktivitätsanzeige, die Anmeldeobjekte in den Systemeinstellungen und ungewöhnliche ausgehende Verbindungen. Bei Verdacht hilft nur eine saubere Neuinstallation mit anschließendem Passwortwechsel.
Reicht ein starkes VNC-Passwort als Schutz?
Nein, und das ist der unangenehme Teil. Die Lücke umgeht die Anmeldung vollständig — ein Passwort wird gar nicht erst abgefragt. Nur das Update oder das Abschalten des Dienstes schützt zuverlässig.

Quellen

Kommentar hinterlassen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert