macOSの画面共有機能における不適切な認証の脆弱性（悪用観測）

JPCERT/CCは、macOSの画面共有機能（Screen Sharing）における不適切な認証の脆弱性（CVE-2026-65400）が、暗号資産採掘マルウェアへの感染につながる攻撃で悪用されている事例について、週次レポート（Weekly Report 2026-08-26）で紹介している。この脆弱性は、ネットワーク上の攻撃者が有効な資格情報を持たない状態でも画面共有の認証を通過できる可能性があり、遠隔からの不正利用につながるおそれがあるとされている。

脆弱性の詳細

JPCERT/CCの週次レポートによれば、macOSの画面共有機能における「不適切な認証」（Improper Authentication）の脆弱性（CVE-2026-65400）が、暗号資産採掘マルウェア（暗号資産マイナー）への感染を目的とした攻撃で悪用されていることを、オランダ国家サイバーセキュリティセンター（NCSC-NL）が公表している。ポート5900で画面共有機能をインターネットに公開しているホストが、攻撃の対象となった事例が報告されている。

この脆弱性は、画面共有機能の認証処理に不備があり、ネットワーク上の攻撃者が有効な資格情報を持たないにもかかわらず、認証を通過できる可能性がある点に起因する。認証処理が適切に行われない場合、攻撃者が正規の利用者になりすまして画面共有へアクセスし、遠隔操作や画面上の情報の閲覧、さらには暗号資産採掘マルウェアの導入などにつながるリスクがある。

JPCERT/CCによると、本件は既に悪用が観測されているため、影響を受ける環境では攻撃が現実に起きる前提での対応が必要となる。攻撃ベクタ（攻撃者が到達する経路）は、画面共有機能が利用可能な状態になっている端末やネットワーク経路が想定され、特にポート5900で画面共有をインターネットに公開しているホスト、外部から到達できる設定、あるいは中継（踏み台）を経由した到達に注意が必要である。

なお、CVE-2026-65400のCVSSスコアについては、JPCERT/CCの当該週次レポート内では明示されていないが、海外の脆弱性情報では本脆弱性が重大度の高い問題（CVSS 9.8）として扱われている。JPCERT/CCがレポート内で具体的な数値に言及していないため、本記事ではスコアの数値を引用せず、重大度が高い脆弱性であることのみを説明する。

※本件に関するCVE番号については、JPCERT/CCの週次レポートに明示されているため、記事中でCVE-2026-65400と記載した。CVSSスコアの具体的数値はJPCERT/CC週次レポート内で明示されていないため、本記事では数値を記載しない。

影響を受ける製品・バージョン

• JPCERT/CCの週次レポートでは、Apple macOSの画面共有機能（Screen Sharing）における不適切な認証の脆弱性が対象であるとされているが、具体的なmacOSのバージョンは明示されていない。
• Appleのセキュリティアップデート情報および各種脆弱性情報によれば、本脆弱性は macOS Tahoe 26.6.1、macOS Sequoia 15.7.9、macOS Sonoma 14.8.9 において修正されていることが公表されている。これらより前のバージョンで画面共有が有効な環境は、影響を受ける可能性があると考えられる。
• ただし、JPCERT/CCの週次レポート自体は、具体的な修正バージョンを列挙していないため、詳細な対象バージョンの確認については、Appleが提供するセキュリティアップデート情報を参照する必要がある。

推奨される対策

• ベンダーが提供する修正・更新の適用：JPCERT/CCは悪用観測を踏まえ、影響を受ける環境では同脆弱性への対策適用を推奨している。まずはmacOSの更新状況を確認し、Appleが提供する最新のセキュリティ更新（macOS Tahoe 26.6.1、macOS Sequoia 15.7.9、macOS Sonoma 14.8.9 など、本脆弱性が修正されているバージョン）への更新を適用する。
• 画面共有の有効化状況の見直し：業務上不要な端末では画面共有機能を無効化し、必要な端末に限定する。利用が必要な場合も、利用者・権限を最小限に絞り、不要な管理者権限や広範なアクセス権限を付与しないようにする。
• 到達可能範囲の制限：画面共有に外部から到達できないよう、社内ネットワーク内のみに制限するなど、通信経路を必要最小限にする。特にTCPポート5900で画面共有機能をインターネットに公開している環境は、外部からの不正アクセスのリスクが高いため、公開設定の見直しやファイアウォールによる遮断、VPN経由の限定的なアクセスなどを検討する。
• 監視と記録の確認：不審な画面共有の利用やログインの痕跡がないか、端末およびネットワークのログを確認する運用を行う。特に、心当たりのない画面共有セッション、未知の端末からの接続、認証失敗の急増、暗号資産採掘マルウェアの挙動（CPU負荷の急増など）がないかを確認し、異常があれば速やかに調査・封じ込めを行う。

日本の中小企業が今すぐ取るべき行動

• 優先度1：画面共有が有効な端末を棚卸し：利用部門・端末を洗い出し、業務上不要な端末は速やかに画面共有機能を無効化する。特に、社外からのリモート支援などを理由に一時的に有効化したままになっている端末がないかを重点的に確認する。
• 優先度2：macOSの更新適用状況を一斉確認：管理対象端末のOS更新状況を確認し、macOS Tahoe 26.6.1、macOS Sequoia 15.7.9、macOS Sonoma 14.8.9 など、本脆弱性が修正されているバージョンへの更新が未適用の端末を特定して、早急に更新を適用する。更新管理は、資産管理台帳やMDMなどを活用して、一元的に把握するとよい。
• 優先度3：外部到達性の確認：社外から画面共有に接続できる経路がないか（リモートアクセス設定、開放ポート、VPN運用）を点検し、不要な到達性を遮断する。特に、インターネット上からTCPポート5900への接続が許可されているかどうかを確認し、不要な公開設定があれば直ちに閉じる。
• 優先度4：不審な利用痕跡の有無を確認：最近の画面共有の利用履歴や認証の記録を確認し、心当たりのないアクセスがあれば社内対応手順に従い切り分け・封じ込めを行う。暗号資産採掘マルウェアの感染が疑われる場合は、端末のリソース使用状況や常駐プロセス、スケジュールされたタスクなども併せて確認し、不要なプログラムや設定を除去する。

CSRIからの現場アドバイス

実際のペネトレーションテストでは、遠隔支援のために画面共有が「一時的に有効化」されたまま放置され、権限や到達範囲の見直しが抜けるケースがよく見つかる。診断報告書でも、不要サービスの停止と外部到達性の制御が頻出の指摘事項であり、今回のmacOS画面共有の脆弱性とも親和性の高い問題である。

例えるなら、鍵の確認が甘い状態で「会議室のドアを少し開けたまま」にしているようなものだ。つまり、正しい人かどうかの確認が十分でないと、関係ない人が入り込み、画面の中身を見たり操作したりできる可能性があるということだ。今回の不適切な認証の脆弱性は、まさにその「鍵の確認」の不備に相当し、ネットワーク上の攻撃者に認証突破の機会を与えてしまう。

まず、各Macで画面共有が有効かを確認し、不要ならオフにする。次に、OS更新が未適用の端末がないか一覧で洗い出し、担当者（または保守ベンダー）に早期の更新適用を依頼する。最後に、社外から到達できない設定になっているかをネットワーク担当が点検し、インターネットからの直接接続や不要なポート公開がないようにすることが重要である。

参照: Weekly Report: macOSの画面共有機能における不適切な認証の脆弱性に関する悪用観測状況