macOS-Screensharing-Lücke wird aktiv ausgenutzt — Update jetzt einspielen

Wer sein Mac-Screensharing ins Internet öffnet und den Patch der vergangenen zwei Wochen ausgelassen hat, riskiert gerade root-Zugriff durch Fremde ohne ein einziges Passwort. Kein Login, kein Insiderwissen, kein Fuß in der Tür nötig — wer den offenen Port findet, übernimmt die komplette Kontrolle über die Maschine.

Was ist passiert?

Apple hat vor rund zwei Wochen eine Lücke in der macOS-Bildschirmfreigabe geschlossen, die Angreifern von außen die komplette Fernsteuerung eines Mac erlaubte — inklusive Administratorrechten. Voraussetzung: Die Bildschirmfreigabe (bzw. entfernte Verwaltung) muss aktiv sein, und die Maschine muss aus dem Internet erreichbar sein, etwa über eine Portweiterleitung auf Port 5900. Apple stufte das Risiko so hoch ein, dass der Patch außer der Reihe erschien, statt auf das nächste reguläre Update zu warten.

Genau dieses Szenario ist jetzt eingetreten: Die niederländische Cybersicherheitsbehörde NCSC hat nach eigenen Angaben Meldungen erhalten, dass die Lücke auf mehreren Systemen mit offenem Port 5900 aktiv ausgenutzt wird. Die Angreifer verschafften sich laut NCSC Root-Zugriff und installierten anschließend einen Krypto-Miner für die Währung Monero. Welche Institutionen oder Nutzer konkret betroffen sind, hat die Behörde bislang nicht mitgeteilt.

Was ist belegt?

Auch das deutsche BSI warnt inzwischen offiziell über CERT-Bund vor der Lücke und verweist auf die Einschätzung des NCSC. Sowohl CVSS-Base-Score als auch Temporal-Score werden dort mit dem Schweregrad „hoch" geführt, ein Angriff über das Netz ist demnach möglich. Apple hat mit macOS 14.8.9 (Sonoma), 15.7.9 (Sequoia) und 26.6.1 (Tahoe) Updates bereitgestellt, die laut Hersteller sicherstellen, dass nur noch gültige Zugangsdaten akzeptiert werden.

Belegt ist außerdem, dass ein Sicherheitsunternehmen bereits in der vergangenen Woche einen funktionsfähigen Exploit aus dem Apple-Patch rekonstruieren konnte — nach eigenen Angaben innerhalb von vier Stunden. Den Code hatte das Unternehmen zunächst nicht veröffentlicht.

Was derzeit unklar bleibt

Offen ist, wie der Exploit entstanden ist, der jetzt tatsächlich in freier Wildbahn eingesetzt wird — ob er auf den zurückgehaltenen Code jenes Sicherheitsunternehmens zurückgeht oder unabhängig davon nachgebaut wurde, ist öffentlich bislang nicht bestätigt. Klar ist nur, dass ein solches Reverse Engineering technisch keine große Hürde mehr darstellt: Mit Unterstützung moderner KI-Systeme lässt sich aus einem veröffentlichten Patch vergleichsweise zügig ein funktionierender Exploit ableiten. Das gilt besonders dann, wenn ein Update — wie hier — gezielt nur eine einzige Lücke schließt, weil sich die Änderung im Code dadurch leicht isolieren lässt.

Was Sie jetzt tun sollten

Wenn auf Ihren Mac-Systemen die Bildschirmfreigabe oder entfernte Verwaltung aktiv ist und diese Systeme aus dem Internet erreichbar sind, sollten Sie jetzt auf macOS 14.8.9 (Sonoma), 15.7.9 (Sequoia) oder 26.6.1 (Tahoe) aktualisieren — nicht erst beim nächsten regulären Wartungsfenster. Prüfen Sie zusätzlich, ob die Portweiterleitung auf 5900 überhaupt notwendig ist: In vielen Umgebungen lässt sich Fernzugriff auch sicherer über ein VPN lösen, statt den Dienst direkt aus dem Internet erreichbar zu machen. Und kontrollieren Sie aktiv die installierte Version, statt sich auf ein zuletzt eingespieltes Update zu verlassen — bei einer Lücke, die bereits ausgenutzt wird, zählt der tatsächliche Patch-Stand, nicht der letzte Update-Zeitpunkt.

Quellen: heise online — „Screensharing-Lücke in macOS wird ausgenutzt – Exploit-Warnung" (https://www.heise.de/news/Screensharing-Luecke-in-macOS-wird-ausgenutzt-Exploit-Warnung-11416731.html?wt_mc=rss.red.ho.ho.atom.beitrag.beitrag)