Es gibt Sicherheitslücken, die kompliziert sind. Und es gibt die hier. CVE-2026-65400 steckt im Dienst hinter der macOS-Bildschirmfreigabe und macht das, was eigentlich nie passieren darf: Sie lässt jemanden herein, der kein Passwort hat — und zwar direkt mit vollen Systemrechten.
SCHOCK: Kein Konto, kein Passwort, kein Klick
Für einen Angriff braucht es weder ein gültiges macOS-Benutzerkonto noch ein VNC-Passwort noch irgendeine Handlung des Besitzers. Ein Angreifer, der den Rechner über das Netzwerk erreicht, redet direkt mit dem Dienst screensharingd und landet mit Root-Rechten auf dem System. Die Bewertung wurde entsprechend auf CVSS 9.8 angehoben.
Genau darum ist die Lücke so bequem für Kriminelle: Sie brauchen keine Phishing-Mail und keinen unvorsichtigen Nutzer. Sie brauchen nur einen Mac, dessen Port 5900 im offenen Netz hängt.
Was die Angreifer damit machen: Monero schürfen
Das niederländische Nationale Cyber Security Centrum meldete am 12. August aktive Ausnutzung. Das Muster war in allen gemeldeten Fällen gleich: Die Angreifer holten sich Root-Rechte und installierten einen Rechner zum Schürfen der Kryptowährung Monero.
Das klingt vergleichsweise harmlos — ist es aber nicht. Erstens frisst so ein Miner dauerhaft Rechenleistung und Strom; ein Mac mini als stiller Server im Homelab wird spürbar langsamer und deutlich wärmer. Zweitens, und das wiegt schwerer: Wer einen Miner installieren kann, kann alles andere auch. Der Zugang war da. Was sonst noch mitgenommen wurde, weiß man erst nach genauem Hinsehen.
Die Updates sind seit Anfang August da
Apple hat die Lücke am 6. August 2026 geschlossen. Repariert ist sie in:
- macOS Tahoe 26.6.1
- macOS Sequoia 15.7.9
- macOS Sonoma 14.8.9
CISA hat den Schweregrad am 14. August von 7.1 auf 9.8 hochgestuft und die Lücke am 18. August in den Katalog der bekannt ausgenutzten Schwachstellen aufgenommen. Die Frist für US-Behörden lief am 21. August ab. Übersetzt: Das ist keine theoretische Gefahr mehr, das läuft.
So bist du in 5 MINUTEN auf der sicheren Seite
- Update einspielen. Systemeinstellungen → Allgemein → Softwareupdate. Auch ältere, noch gepflegte Systeme haben eine passende Version bekommen.
- Bildschirmfreigabe prüfen. Systemeinstellungen → Allgemein → Freigabe. Brauchst du sie nicht, schalte sie ab. Das ist die einzige wirklich vollständige Lösung.
- Router kontrollieren. Sieh in deiner Fritzbox oder deinem Router nach, ob eine Portfreigabe auf 5900 existiert. Falls ja: entfernen.
- Fernzugriff über VPN. Wenn du wirklich von unterwegs auf den Mac schauen willst, führt der Weg über WireGuard oder Tailscale — nicht über eine offene Portfreigabe.
- Nachsehen. Läuft die Aktivitätsanzeige seit Wochen auf Anschlag, ohne dass du etwas tust? Prüfe Prozesse mit hoher Prozessorlast und die Anmeldeobjekte.
EXTRA-TIPP: Auch im Homelab gilt die Regel
Ein alter Mac mini als Medienserver oder Buildmaschine ist im Homelab beliebt — und wird gern genauso behandelt wie ein Linux-Server: Port auf, fertig. Diese Lücke ist die Erinnerung daran, dass Fernwartungsdienste generell nichts im offenen Internet zu suchen haben. Weder VNC noch RDP noch die macOS-Bildschirmfreigabe.
FAZIT: Update und Port zu
Die Reparatur ist längst verfügbar, der Aufwand liegt bei wenigen Minuten. Wer eine Portfreigabe auf 5900 betreibt und noch nicht aktualisiert hat, sollte davon ausgehen, dass sein System bereits gefunden wurde.
Häufige Fragen
Welche macOS-Versionen sind betroffen?
Bin ich betroffen, wenn die Bildschirmfreigabe aus ist?
Wie erkenne ich, ob mein Mac bereits kompromittiert ist?
Reicht ein starkes VNC-Passwort als Schutz?
Quellen
- Tom’s Hardware: Critical macOS Screen Sharing flaw gives attackers remote root access
- Malwarebytes: Update your Mac — Screen Sharing vulnerability exploited in the wild
- Tanium: Critical macOS Screen Sharing Authentication Bypass (CVE-2026-65400)
- Bitdefender: macOS Screen Sharing flaw exploited for crypto-mining