macOS Screen Sharing: Root-Zugriff ohne Passwort über CVE-2026-65400
Apple hat eine kritische Lücke in der Screen-Sharing-Authentifizierung gepatcht, die unauthentifizierten Remote-Angreifern Root-Zugriff auf macOS-Systeme erlaubte. Sofort-Update oder Deaktivierung empfohlen.
Apple hat am 6. August 2026 Notfall-Updates für macOS veröffentlicht, die eine kritische Lücke in Screen Sharing schließen. Die als CVE-2026-65400 geführte Schwachstelle erlaubte unauthentifizierten Remote-Angreifern die Ausführung von beliebigem Code sowie Dateizugriff mit Root-Rechten, ganz ohne gültiges macOS-Konto und ohne das legacy VNC-Passwort.
Was ist passiert?
Der Sicherheitsforscher Ryan Dowd führte die Lücke auf die Secure-Remote-Password-Authentifizierung (SRP) im Dienst screensharingd zurück. Ein fehlerhafter Validierungspfad für die Frame-Länge liefert einen veralteten Erfolgsstatus zurück, wodurch der Dienst eine unauthentifizierte Verbindung fälschlich als legitim authentifiziert behandelt. Die resultierende Sitzung besitzt zudem nicht den kryptografischen Schutz, den ein korrekter SRP-Austausch normalerweise bieten würde. Öffentliche Proof-of-Concept-Forschung hat bereits beliebige Datei-Lese- und Schreibzugriffe demonstriert, Folgearbeiten zeigen Wege zu vollständiger Remote-Code-Ausführung, einschließlich Persistenz über LaunchDämons oder veränderte Shell-Startdateien.
Die Lücke erscheint kurz nach CVE-2026-43760, einer separaten, Ende Juli offengelegten Screen-Sharing-Schwachstelle. Beide gehen auf Apples Remote-Framebuffer-Implementierung (RFB/VNC) zurück, unterscheiden sich aber deutlich in den Voraussetzungen: CVE-2026-43760 setzte eine authentifizierte Verbindung über legacy VNC-Authentifizierung voraus, CVE-2026-65400 entfernt diese Voraussetzung vollständig.
Wer ist betroffen?
Betroffen sind alle macOS-Systeme mit aktiviertem Screen Sharing vor den Sicherheitsupdates. Apple hat die Lücke mit macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9 vollständig behoben. Besonders schwerwiegend ist die Lücke bei Systemen, deren Screen Sharing direkt aus dem öffentlichen Internet erreichbar ist. Der privilegierte Helferprozess SSFileCopySender kann dabei mit Root-Rechten laufen und trägt Apples private Full-Disk-Access-Berechtigung.
Nicht betroffen sind Systeme, auf denen Screen Sharing deaktiviert ist, sowie Systeme, die bereits auf die genannten gepatchten Versionen aktualisiert wurden.
Wie kritisch ist das?
Die Lücke ist als kritisch einzustufen: Kein Konto, kein Passwort, keine Benutzerinteraktion ist nötig, um Root-Zugriff und Dateizugriff zu erlangen. Die Kombination aus fehlender Authentifizierungspflicht und root-privilegierten Helferprozessen macht dies zu einer der schwerwiegendsten macOS-Lücken der jüngeren Zeit. Da bereits öffentliche Proof-of-Concept-Forschung existiert, die Wege zu vollständiger Remote-Code-Ausführung aufzeigt, ist zeitnahes Patchen dringend geboten, auch wenn zum Meldezeitpunkt keine aktive Ausnutzung in freier Wildbahn bestätigt wurde.
Was sollten Admins jetzt tun?
- Alle macOS-Systeme auf Tahoe 26.6.1, Sequoia 15.7.9 oder Sonoma 14.8.9 beziehungsweise neuer aktualisieren
- Bis zum Update Screen Sharing vollständig deaktivieren, insbesondere auf Systemen mit direkter Internet-Exposition
- Prüfen, welche Mac-Systeme im Unternehmen Screen Sharing aktiv nutzen, und diese priorisiert patchen
- Netzwerksegmentierung prüfen: Screen Sharing sollte grundsätzlich nicht direkt aus dem öffentlichen Internet erreichbar sein
- Nach dem Update kontrollieren, ob verdächtige LaunchDämons oder veränderte Shell-Startdateien auf betroffenen Systemen vorhanden sind, falls vor dem Patch eine Kompromittierung möglich war
Einordnung für Unternehmen
Für kleine und mittlere Unternehmen mit Apple-Geräten im Einsatz ist diese Lücke besonders relevant, wenn Remote-Support oder Fernwartung über Screen Sharing erfolgt. Die Kombination aus fehlender Authentifizierung und Root-Zugriff macht das Update zur sofortigen Priorität, nicht zum nächsten planbaren Wartungsfenster. Unternehmen, die Apple-Geräte zentral verwalten, sollten das Update über MDM ausrollen und den Status zeitnah kontrollieren.
Passende Anleitungen auf S-EDV
- macOS im Unternehmen absichern: FileVault und Grundhärtung – Ergänzende Grundlagen zur Absicherung von macOS-Systemen im Unternehmenseinsatz.
- macOS 26.5/iOS 26.5: Apple-Sicherheitslücken im Mai – Verwandtes Thema zu vorangegangenen Apple-Sicherheitsupdates.
