CVE-2026-59309Patch(vmware / cloud_foundation)

vCenter pre-auth RCE: CVE-2026-59309/59310 https://mobeta.fr/blog/vcenter-cve-2026-59309-cve-2026-59310/

⚡️ VMware just released a critical security update for ESXi hypervisor suite (VMSA-2026-0006). Two attack vectors: 1. Remote attack on vCenter – CVE-2026-59309: auth bypass via network access CVE-2026-59310: directory traversal RCE An exploit would allow control of entire ESXi infrastructure. 2. A VM-escapable set of two bugs – CVE-2026-59310: vmxnet3 OOBW CVE-2026-41703: core OOBR These are likely chainable to break out of VM and achieve code execution on hypervisor OS, as a privileged guest OS user. Diffing and exploiting (1) is straightforward and should be patched promptly.

vCenter pre-auth RCE: CVE-2026-59309/59310 https://mobeta.fr/blog/vcenter-cve-2026-59309-cve-2026-59310/

🚨 Critical VMware vCenter Vulnerabilities — CVSS 9.8 Broadcom has issued VMSA-2026-0006.1 addressing multiple vulnerabilities across VMware vCenter, ESX, Workstation, Fusion and Cloud Foundation. * CVE-2026-59309 — Critical vCenter authentication bypass, CVSS 9.8. * An attacker with network access to vCenter may bypass authentication and gain unauthorized access. * CVE-2026-59310 — Critical vCenter directory traversal vulnerability, CVSS 9.8. * An attacker with network access may exploit it to execute arbitrary code on vCenter. * CVE-2026-47876 — Critical VMXNET3 out-of-bounds write, CVSS 9.3, potentially allowing a malicious VM administrator to execute code on the ESXi host. * Broadcom also patched CVE-2026-41703 and CVE-2026-41709. * Broadcom lists NO workaround for the critical vulnerabilities. Organizations should prioritize applying the available patches. 🔎 Analyst Note: vCenter represents a high-value management plane. Compromise can provide attackers with extensive visibility and control over virtualized infrastructure, making authentication bypass and remote code execution vulnerabilities particularly serious for enterprise environments. Source: Broadcom https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017 #DDW #Cybersecurity #VMware #Vulnerability

⚠️We are observing a spike in scanning against VMware vCenter Our honeypots are logging increased fingerprinting - such as version probes via POST /sdk/ (RetrieveServiceContent) and walks of the /websso SAML SSO flow - coinciding with Broadcom's VMSA-2026-0006 (CVE-2026-59309, unauth auth-bypass in vmdir, CVSS 9.8). Track VMWare vCenter activity now -> https://console.defusedcyber.com/signup

بخصوص ثغرات VMware + vCenter CVE-2026-59309 تتجاوز المصادقة في Directory Service وتمنح المهاجم وصولاً غير مصرح به. CVE-2026-59310 تستغل Directory Traversal في Syslog server لتشغيل كود. كلتاهما 9.8، ويكفي وصول المهاجم إلى vCenter عبر الشبكة. الثغرة الثالثة CVE-2026-47876 هي VM escape بدرجة 9.3 داخل VMXNET3.

🚨 On 7/29/26, #Broadcom published a security advisory addressing multiple vulns in #VMWare products. Of particular interest are CVE-2026-59309 & CVE-2026-59310, 2 critical, remotely exploitable vulns affecting vCenter Server. More in the Rapid7 blog: https://r-7.co/4bl4Z96 https://t.co/vmQpz55F7V

هشدار امنیتی : دسترسی سرور Vmware Esxi و VCenter رو سریعا محدود به آی پی های خودتون کنید. آسیب‌پذیری های بحرانی با شناسه‌های CVE-2026-59309، CVE-2026-59310 و CVE-2026-47876 شناسایی شده‌اند. سرورها به طور گسترده در حال هک شدن و Encrypt شدن دیتا توسط باج افزار هستند.

A Chinese-speaking threat group exploited CVE-2026-59310 and CVE-2026-59309 to navigate vCenter, deploy Babuk-derived ransomware on ESXi, and establish persistent, credential-stealing access across 47 countries. https://thecybersecguru.com/news/vmware-vcenter-cve-2026-59310-babuk-esxi-ransomware/

🔴 VMware vCenter için alağıdaki güvenlik açıklarına yönelik public PoC'ler bu hafta yayınlandı. CVE-2026-59309: VMware Directory Service, authentication bypass · CVSS 9.8 CVE-2026-59310: vCenter Syslog receiver, directory traversal -> arbitrary code execution · CVSS 9.8 vCenter sistemleriniz için güvenlik güncellemelerini halen yapmadıysanız mutlaka yapın, ayrıca vCenter erişimini kısıtlayın / local erişilebilecek şekilde ayarlayın.

Two pre-auth vulnerabilities in VMware vCenter: authentication bypass and RCE Read on dbugs: https://dbu.gs/news/two-pre-auth-vulnerabilities-in-vmware-vcenter-authentication-bypass-and-rce-20260924 Raphaël Dray of Mobeta analyzed CVE-2026-59309 (https://dbu.gs/vulnerability/CVE-2026-59309) and CVE-2026-59310 (https://dbu.gs/vulnerability/CVE-2026-59310) — two critical VMware vCenter vulnerabilities that can be exploited without prior authentication. CVE-2026-59309 (https://dbu.gs/vulnerability/CVE-2026-59309) — an authentication bypass in VMware Directory Service ("vmdird"). The flaw was in the Cyrus SASL "http://libsrp.so" library, which implements SRP (Secure Remote Password) for LDAP authentication. The server checked that the public value "A" was greater than zero but omitted the required "A mod N != 0" check. By sending "A = N", an attacker can obtain a predictable shared secret and generate a valid authentication proof without knowing the password. The researcher confirmed the attack by performing an SRP bind as "administrator@vsphere.local" without a password and gaining access to the vSphere SSO directory. Patch diffing showed that the fix added the missing modulo check in "srp_server_mech_step2". CVE-2026-59310 (https://dbu.gs/vulnerability/CVE-2026-59310) affects vCenter's Syslog infrastructure. Sender-controlled "HOSTNAME" and "APP-NAME" values were inserted into "rsyslog" output paths without protection against path traversal. A specially crafted Syslog message allows an attacker to escape "/var/log/vmware/" and write a file to an arbitrary location where "rsyslog" has write permission. The researcher demonstrated writing to the VAMI web root and confirmed RCE, but intentionally did not disclose the full code-execution chain. Exploitation requires network access to the Syslog listener — UDP/TCP 514 or TLS Syslog. "rsyslog" itself is not vulnerable: the issue was in VMware's configuration template, and the fix uses "secpath-replace" to sanitize attacker-controlled path components. Mobeta's analysis compares the vulnerable vCenter 8.0.3.00900 with the fixed 8.0.3.01000, in which both issues are patched. Article: https://mobeta.fr/blog/vcenter-cve-2026-59309-cve-2026-59310/ CVE-2026-59309 — PT-2026-65832: https://dbu.gs/vulnerability/PT-2026-65832 CVE-2026-59310 — PT-2026-65833: https://dbu.gs/vulnerability/PT-2026-65833

QUIRSO 中国との関連が疑われるAPTによるCVE-2026-59310のグローバルな悪用と、関連するCVE-2026-59309の活動 https://medium.com/@quirso_de/global-exploitation-of-cve-2026-59310-by-suspected-chinese-nexus-apt-related-cve-2026-59309-443a79e1466d

You can also track CVE-2026-59310 & CVE-2026-59309 vulnerable VMware vCenter instances in our daily Vulnerable HTTP reporting since July 30th: https://www.shadowserver.org/what-we-do/network-reporting/vulnerable-http-report/ Tracker: https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=30&source=http_vulnerable&source=http_vulnerable6&tag=cve-2026-59310%2B&dataset=unique_ips&limit=100&group_by=geo&stacking=stacked&auto_update=on World Map: https://dashboard.shadowserver.org/statistics/combined/tree/?date_range=1&source=http_vulnerable&source=http_vulnerable6&tag=cve-2026-59310%2B&data_set=count&scale=log&auto_update=on https://t.co/foCdMnYyzd

CVE-2026-59309 & CVE-2026-59310: patch-diffing VMware vCenter reveals two pre-auth 9.8 bugs - an auth bypass and a syslog path traversal to RCE. https://mobeta.fr/blog/vcenter-cve-2026-59309-cve-2026-59310/

🚨 Upozorňujeme na kritické zranitelnosti v produktech VMware, CVE-2026-59309, CVE-2026-59310 a CVE-2026-47876. Zranitelnosti v VMware vCenter umožňují vzdálenému útočníkovi se síťovým přístupem obejít autentizaci a získat neoprávněný přístup k vCenter, případně zneužít directory traversal ke spuštění libovolného kódu na vCenter. Zranitelnost VMXNET3 Out-of-Bounds Write umožňuje útočníkovi s administrátorskými oprávněními ve virtuálním stroji používajícím adaptér VMXNET3 spustit kód na ESX hostiteli. Dopad zahrnuje kompromitaci ESX hostitele, neoprávněný přístup, vzdálené spuštění kódu, únik informací nebo odepření služby. Dotčené produkty zahrnují VMware ESX, VMware vCenter, VMware Workstation, VMware Fusion, VMware Cloud Foundation, VMware vSphere Foundation, VMware Telco Cloud Platform a VMware Telco Cloud Infrastructure. 📌Doporučujeme aktualizovat na nejnovější verzi.

【対策】BroadcomはVMSA-2026-0006.1で修正版を公開しています。 CVE-2026-59310：vCenter Syslog ServerのDirectory Traversal → 任意コード実行 CVE-2026-59309：VMware Directory Serviceの認証回避 いずれもCritical / CVSS 9.8で、Broadcomは「回避策なし」としています。 主な修正版： ・vCenter 9.1.x → 9.1.0.0300 ・vCenter 9.0.x → 9.0.2.0100 ・vCenter 8.0 → 8.0 U3k / 8.0 U2f ただし、今回の攻撃ではすでにcron、systemd、WebShell、不正SSOアカウント、SSH鍵、reverse_sshなどによる永続化が確認されています。 そのため、パッチ適用だけでなく、すでに侵害されている可能性を前提にIOC確認、資格情報のローテーション、C2通信調査まで実施してください。 Broadcom VMSA-2026-0006.1 https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017

🔴 VMware vCenter'da CVE-2026-59310 istismarı: 47 ülkede 361 IP, ESXi ransomware saldırıları! VMware vCenter Server'daki kritik CVE-2026-59310 açığı, yaması yayınlandıktan yalnızca birkaç gün sonra gerçek saldırılarda aktif olarak istismar edilmeye başlandı. QUIRSO'nun incelemesine göre saldırıların arkasında, Çin bağlantılı olduğu değerlendirilen bir APT bulunuyor. Ancak saldırganın kim veya kimler olduğu doğrulanmış değil. 👉 Saldırı nasıl gerçekleşiyor? CVE-2026-59310, vCenter'ın Syslog sunucusundaki kritik bir directory traversal açığı. Ağ erişimi olan saldırgan, açığı kullanarak vCenter Server Appliance üzerinde root yetkisiyle keyfi kod çalıştırabiliyor. Açığın CVSS skoru 9.8. Broadcom yamayı 29 Temmuz 2026'da yayınladı. Saldırganlar açığı istismar ettikten sonra /etc/cron.d/ altında VMware servislerini taklit eden cron görevleri oluşturuyor ve bunları root yetkisiyle çalıştırıyor. Ardından: -> linuxFile backdoor'u indiriliyor ve persistence sağlanıyor -> SSH public key'leri eklenerek uzaktan erişim oluşturuluyor -> JSP web shell (vmware-perf-update.jsp) bırakılıyor -> adminuser ve vcadmin gibi hesaplar oluşturuluyor -> Bu hesaplar vSphere SSO Administrators grubuna ekleniyor -> /etc/sudoers.d/vmware-perf üzerinden root yetkisi için kalıcı erişim sağlanıyor -> vSphere API kullanılarak ortam keşfediliyor -> esxi[.]sh üzerinden ESXi hostlarına reverse SSH implantı dağıtılıyor -> ESXi hostlarında yeni lokal hesaplar oluşturuluyor Son aşamada ESXi hostlarına Babuk türevi olduğu değerlendirilen ransomware dağıtılıyor ve dosyalar .babyk uzantısıyla şifreleniyor. Saldırının gözlemlenen bir örneğinde ransomware'ın yalnızca dosyaları şifrelemekle kalmayıp ESXi loglarını da etkileyerek olayın adli analizini ve saldırgan faaliyetlerinin izlenmesini zorlaştırmış olabileceği değerlendiriliyor. 👉 Etki: Saldırıların yaklaşık 361 benzersiz IP adresli vCenter sunucusunu 47 ülkede etkilediği tahmin ediliyor. Ülkelere göre tespit edilen IP'ler arasında: 🇩🇪 Almanya: 55 🇺🇸 ABD: 41 🇹🇷 Türkiye: 38 🇮🇷 İran: 26 🇫🇷 Fransa: 25 Türkiye'nin 38 IP ile üst sıralarda bulunması özellikle dikkat çekici. 🛡️ Ne yapılmalı? VMware vCenter kullanan sistemlerde öncelikle CVE-2026-59310 ve ilişkili CVE-2026-59309 için Broadcom'un yayınladığı güncellemelere geçilmeli: https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017 Broadcom'a göre CVE-2026-59310 için: • vCenter 8.0 -> 8.0 U3k • vCenter 9.0.x -> 9.0.2.0100 • vCenter 9.1.x -> 9.1.0.0300 olarak belirtilen düzeltilmiş sürümlere geçilmesi gerekiyor. Her iki açık için de resmi workaround bulunmuyor. Ayrıca yalnızca patch uygulamak yeterli olmayabilir. Daha önce açık olan bir vCenter'ın ele geçirilmiş olabileceği düşünülüyorsa; • /etc/cron.d/ altında şüpheli VMware isimli cron dosyaları • Beklenmeyen systemd servisleri • authorized_keys değişiklikleri • Yeni vSphere/ESXi kullanıcıları • SSO Administrators grubundaki beklenmeyen üyeler • /etc/sudoers.d/ altındaki şüpheli dosyalar • Beklenmeyen dış bağlantılar ve reverse SSH süreçleri • linuxFile, reverse_ssh, vmware-perf-update.jsp gibi IOC'ler ayrıca incelenmeli. En kritik nokta: vCenter'ın internete doğrudan açık olması saldırı yüzeyini ciddi şekilde artırıyor. Yönetim arayüzüne erişim belirli ipler / güvenilir yönetim ağlarıyla sınırlandırılmalı ve internetten erişim engellenmeli.

Critical VMware vulnerabilities: patch vCenter and ESXi as soon as possible CVE-2026-59309 — vCenter authentication bypass https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017 #ESXI #Vcenter #broadcom

#DCISEWarning: VMware Center Targeted by Chinese APTs Threat: CVE-2026-59309 (Auth Bypass) & CVE-2026-59310 (RCE, CISA KEV) used to install reverse SSi backdoors. Action: Patch immediately & check for "vcenter_admin" or "zz-poc59310-syslog.log". https://t.co/NgqvUEuqZU

米国CISAが悪用を確認した脆弱性 #KEV をカタログに追加しました。（08/18追加） #vulnerability 🛡CVE-2026-33824 Microsoft Internet Key Exchange (IKE) Service Extensions Double Free Vulnerability ✅概要 ・深刻度：緊急 9.8 (CVSS Base) / Microsoft Corporation (CNA) ・種別：二重解放 (CWE-415) ・CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H Microsoft Windows Internet Key Exchange (IKE) Service Extensions に存在する、二重解放の脆弱性です。 未認証の攻撃者がネットワーク経由で悪用することで、対象システム上でコードを実行できる可能性があります。 影響を受ける製品には、Windows 10、Windows 11、Windows Server 2019、Windows Server 2022、Windows Server 2025 などの複数バージョンが含まれます。 ✅ChatGPTによる脆弱性評価 ・国内影響度：高 ・悪用難易度：低 ✅CISA 評価 ・攻撃自動化：自動化は可能 ・技術的影響：完全制御 ・BOD 26-04 対処期限（露出あり）：2026年8月21日 ・BOD 26-04 対処期限（露出なし）：2026年9月1日 ✅攻撃前提条件 ・影響を受ける Windows または Windows Server を使用している ・IKE Service Extensions が利用可能な状態である ・攻撃者が対象システムへネットワーク経由で到達できる ・攻撃者は認証情報を必要としない ・Microsoft が提供する修正済み更新プログラムが適用されていない ✅悪用時影響 ・未認証の攻撃者にリモートコードを実行される可能性がある ・対象システムを侵害される可能性がある ・機密性、完全性、可用性に高い影響が生じる可能性がある ・VPN/IKE 関連サービスを入口として追加侵害へつなげられる可能性がある ✅悪用事例等に関する公開情報 ・PoC/Exploit：一部公開（技術情報のみ） ・ITW：確認済み（Unit 42） ・概要：Unit 42 は、中国語話者とみられる攻撃者による AI 支援型の攻撃キャンペーンにおいて、CVE-2026-33824 を対象にした手動の悪用およびリバースシェル試行を確認したと報告 ✅関連情報 ・https://nvd.nist.gov/vuln/detail/CVE-2026-33824 ・https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-33824 ・https://github.com/cisagov/vulnrichment/blob/develop/2026/33xxx/CVE-2026-33824.json ・https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-33824 ・https://unit42.paloaltonetworks.com/autonomous-ai-cyber-attack-campaign/ ・https://jvndb.jvn.jp/ja/cwe/CWE-415.html 🛡CVE-2026-55040 Microsoft SharePoint Weak Authentication Vulnerability ✅概要 ・深刻度：緊急 9.1 (CVSS Base) / Microsoft Corporation (CNA) ・種別：弱い認証 (CWE-1390) ・CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N Microsoft Office SharePoint に存在する、弱い認証に起因するセキュリティ機能バイパスの脆弱性です。 未認証の攻撃者がネットワーク経由で悪用することで、SharePoint のセキュリティ機能を回避できる可能性があります。 影響を受ける製品には、Microsoft SharePoint Enterprise Server 2016、Microsoft SharePoint Server 2019、Microsoft SharePoint Server Subscription Edition が含まれます。 ✅ChatGPTによる脆弱性評価 ・国内影響度：高 ・悪用難易度：低 ✅CISA 評価 ・攻撃自動化：自動化は可能 ・技術的影響：完全制御 ・BOD 26-04 対処期限（露出あり）：2026年8月21日 ・BOD 26-04 対処期限（露出なし）：2026年9月1日 ✅攻撃前提条件 ・Microsoft SharePoint Enterprise Server 2016、Microsoft SharePoint Server 2019、または Microsoft SharePoint Server Subscription Edition を使用している ・SharePoint Enterprise Server 2016 で 16.0.5561.1001 未満を使用している ・SharePoint Server 2019 で 16.0.10417.20175 未満を使用している ・SharePoint Server Subscription Edition で 16.0.19725.20434 未満を使用している ・攻撃者が対象 SharePoint Server へネットワーク経由でアクセスできる ・攻撃者は認証情報を必要としない ・Microsoft が提供する修正済み更新プログラムが適用されていない ✅悪用時影響 ・SharePoint の認証機構またはセキュリティ機能を回避される可能性がある ・任意の SharePoint ユーザーまたは管理者として操作される可能性がある ・SharePoint 上の機密情報へ不正アクセスされる可能性がある ・他の SharePoint 脆弱性と組み合わせて、より深刻な侵害へつなげられる可能性がある ✅悪用事例等に関する公開情報 ・PoC/Exploit：公開済み ・ITW：確認済み（BleepingComputer / Rapid7） ・概要：BleepingComputer は、Rapid7 の技術詳細と PoC 公開後に本脆弱性を悪用した攻撃が確認されたと報道 ✅関連情報 ・https://nvd.nist.gov/vuln/detail/CVE-2026-55040 ・https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-55040 ・https://github.com/cisagov/vulnrichment/blob/develop/2026/55xxx/CVE-2026-55040.json ・https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-55040 ・https://www.rapid7.com/blog/post/ra-microsoft-sharepoint-jwt-token-authentication-bypass-cve-2026-55040/ ・https://github.com/sfewer-r7/CVE-2026-55040 ・https://www.bleepingcomputer.com/news/microsoft/hackers-leverage-new-microsoft-sharepoint-exploit-in-attacks/ ・https://jvndb.jvn.jp/ja/cwe/CWE-1390.html 🛡CVE-2026-59310 Broadcom VMware vCenter Path Traversal Vulnerability ✅概要 ・深刻度：緊急 9.8 (CVSS Base) / VMware (CNA) ・種別：パス・トラバーサル (CWE-22) ・CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H VMware vCenter の Syslog server に存在するパス・トラバーサルの脆弱性です。 vCenter へネットワークアクセス可能な攻撃者が悪用することで、任意コード実行につながる可能性があります。 影響を受ける製品には vCenter、VMware Cloud Foundation、VMware vSphere Foundation、Telco Cloud Infrastructure、Telco Cloud Platform が含まれます。 ✅ChatGPTによる脆弱性評価 ・国内影響度：高 ・悪用難易度：低 ✅CISA 評価 ・攻撃自動化：自動化は可能 ・技術的影響：完全制御 ・BOD 26-04 対処期限（露出あり）：2026年8月21日 ・BOD 26-04 対処期限（露出なし）：2026年9月1日 ✅攻撃前提条件 ・VMware vCenter または関連する VMware Cloud Foundation / vSphere Foundation 環境を使用している ・vCenter 9.1.x.x で 9.1.0.0300 未満、9.0.x.x で 9.0.2.0100 未満、または 8.0 で 8.0 U3k 未満を使用している ・攻撃者が vCenter へネットワーク経由でアクセスできる ・攻撃者は認証情報を必要としない ・Broadcom / VMware が提供する修正済みバージョンへ更新されていない ✅悪用時影響 ・vCenter Syslog server のパス処理を悪用される可能性がある ・制限されたディレクトリ外のファイルへアクセスまたは書き込みされる可能性がある ・vCenter 上で任意コード実行につながる可能性がある ・仮想化管理基盤を侵害される可能性がある ・管理対象の仮想化環境やクラウド基盤へ追加侵害される可能性がある ✅悪用事例等に関する公開情報 ・PoC/Exploit：一部公開（技術情報のみ） ・ITW：確認済み（Quirso） ・概要：Quirso は、CVE-2026-59310 の能動的な悪用を確認し、47か国の 361 被害 IP に及ぶ観測結果や、疑わしい中国系 APT 関連の悪用について報告 ✅関連情報 ・https://nvd.nist.gov/vuln/detail/CVE-2026-59310 ・https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017 ・https://github.com/cisagov/vulnrichment/blob/develop/2026/59xxx/CVE-2026-59310.json ・https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-59310 ・https://medium.com/@quirso_de/active-exploitation-of-cve-2026-59310-361-victim-ips-across-47-countries-9783187cc6ff ・https://medium.com/@quirso_de/global-exploitation-of-cve-2026-59310-by-suspected-chinese-nexus-apt-related-cve-2026-59309-443a79e1466d ・https://jvndb.jvn.jp/ja/cwe/CWE-22.html 🛡CVE-2026-65400 Apple macOS Improper Authentication Vulnerability ✅概要 ・深刻度：緊急 9.8 (CVSS Base) / CISA-ADP ・種別：不適切な認証 (CWE-287) ・CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H Apple macOS の Screen Sharing に存在する、不適切な認証の脆弱性です。 状態管理の不備により、ネットワーク上の攻撃者が有効な認証情報なしで Screen Sharing へ認証できる可能性があります。 本脆弱性は macOS Sonoma 14.8.9、macOS Sequoia 15.7.9、macOS Tahoe 26.6.1 で修正されています。 ✅ChatGPTによる脆弱性評価 ・国内影響度：高 ・悪用難易度：低 ✅CISA 評価 ・攻撃自動化：自動化は可能 ・技術的影響：完全制御 ・BOD 26-04 対処期限（露出あり）：2026年8月21日 ・BOD 26-04 対処期限（露出なし）：2026年9月1日 ✅攻撃前提条件 ・macOS Sonoma 14.8.9 未満、macOS Sequoia 15.7.9 未満、または macOS Tahoe 26.6.1 未満を使用している ・Screen Sharing が有効である ・攻撃者が対象 Mac の Screen Sharing サービスへネットワーク経由でアクセスできる ・特に TCP/5900 などの画面共有関連ポートがインターネットまたは攻撃者到達可能なネットワークに露出している ・Apple が提供する修正済みバージョンへ更新されていない ✅悪用時影響 ・有効な認証情報なしで Screen Sharing に認証される可能性がある ・対象 Mac をリモート操作される可能性がある ・root 権限相当の不正操作につながる可能性がある ・暗号資産マイナーなどの不正プログラムを配置される可能性がある ・対象端末上の機密情報や認証情報を窃取される可能性がある ✅悪用事例等に関する公開情報 ・PoC/Exploit：公開情報確認できず ・ITW：確認済み（NCSC-NL） ・概要：NCSC-NL は、インターネットに Screen Sharing を露出した macOS 環境に対して CVE-2026-65400 が悪用され、Monero マイナーの展開に使われていることを公表。 ✅関連情報 ・https://nvd.nist.gov/vuln/detail/CVE-2026-65400 ・https://support.apple.com/en-us/148170 ・https://support.apple.com/en-us/148171 ・https://support.apple.com/en-us/148172 ・https://github.com/cisagov/vulnrichment/blob/develop/2026/65xxx/CVE-2026-65400.json ・https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-65400 ・https://advisories.ncsc.nl/2026/ncsc-2026-0280.html ・https://jvndb.jvn.jp/ja/cwe/CWE-287.html CISA Alert ・https://www.cisa.gov/news-events/alerts/2026/08/18/cisa-adds-four-known-exploited-vulnerabilities-catalog #vulnerability