CVE-2026-65400 — macOS Screen Sharing の認証前 root ファイル読み取り（読み取り専用 PoC）

読み取り専用の概念実証。 認証バイパスを、脆弱なホストから root のみが 読み取れるファイルを読み取ることで実証します。ターゲットには何も書き込みません。LaunchDaemon、 シェル起動ファイル、crontab、RCE チェーンは一切ありません。

所有する Mac（macOS Tahoe 26.5.2、パッチ未適用）に対して実行。シリアル番号は伏せています。

概要

screensharingd — macOS の 画面共有 / Apple Remote Management の背後にあるデーモン （TCP 5900）— は、認証されていない接続を認証済みとして扱うように騙される可能性があります。ユーザー名もパスワードも、 ターゲット側での操作も不要です。

デーモンのネイティブ認証パスは SRP（Secure Remote Password） を使用します。その フレーム長バリデータは古い成功ステータスを返すため、資格情報が証明される前に接続が 認証済みとマークされます。Apple のアドバイザリの表現 — "improved state management" — はこれに一致します。暗号化は決して破られておらず、 その周囲のステートマシンが破られていました。

そのゲートを通過すると、セッションは 平文 で継続し、特権を持つファイルコピー ヘルパー（SSFileCopySender / SSFileCopyReceiver）は フルディスクアクセス を保持します。これにより、 認証前の root としての任意ファイル読み書き が TCC をバイパスして可能になり、そこから リモートコード実行は LaunchDaemon かシェル起動ファイルひとつ分の距離です。

認証前。リモート。root。デフォルト設定 — 画面共有が有効になった瞬間。

影響を受けるバージョン

画面共有 / Remote Management が有効で到達可能である必要があります。アカウント を堅牢化しても 効果はありません — ユーザーの削除、レガシー VNC の無効化、パスワードのローテーションは 保護になりません。このバグは認証前に到達するからです。

悪用状況

これは理論上の話ではありません。現に実環境で悪用されています。

インターネット公開されたポート 5900 に対する実際の攻撃活動が観測されています。永続化のための SSH 公開鍵の設置、 ログとシェル履歴の削除、パケットフィルタールールの変更、そして XMRig 6.26.0 Monero マイナーの展開。

使用法

Python 3、標準ライブラリのみ。依存関係なし。

python3 poc_screensharing.py <IP>                          # reads /etc/sudoers
python3 poc_screensharing.py <IP> /etc/passwd
python3 poc_screensharing.py <IP> /etc/master.passwd -r 50

-p, --port      target port (default 5900)
-u, --user      username sent in the SRP step-1 frame (default root)
-r, --retries   retry count (default 25) — the bug is heap-racy
-t, --timeout   socket timeout in seconds (default 8.0)

信頼性に関する注意点

• このバグは競合状態です。 ヒープレイアウトに依存し、毎回成功するわけではありません。そのため PoC はリトライします。25〜50 回試しても成功しない場合は、後でもう一度試してください。
• デーモンはスロットリングを行います。 連打するとレート制限されます — 約 1 分待ってください。
• パッチ適用済みホストは検出され、リトライされません。 SecurityResult != 0 または SRP (36) を含まないセキュリティタイプリストが検出されると、ループを停止してホストを非脆弱と報告します。

検出

エンドポイントセキュリティイベント ES_EVENT_TYPE_NOTIFY_SCREENSHARING_ATTACH:

• authentication_type: SRP が RSA コンポーネントなし — 正当なセッションは RSA-SRP を報告します。これが最もシグナルが高い指標です。
• セッションのユーザー名が root — このアカウントは macOS ではデフォルトで無効です。
• SSFileCopySender が UID/GID 0 80 で実行され、画面共有セッション中に _LOOKUP / _OPEN / _STAT / _CLOSE を介してシステムパスにアクセスします。

緩和策

1. パッチ を 26.6.1 / 15.7.9 / 14.8.9 に適用します。これが唯一の本当の修正です。
2. パッチを適用できない場合は、画面共有 / Remote Management を完全に無効化 します。
3. TCP 5900 をインターネットに公開しない — この CVE の有無にかかわらず。

クレジット

この研究は私によるものではありません。このリポジトリは再現と解説です。

• Pedro Vilaça (fG!, @osxreverser) — 元の認証前バグ
• bl4sty (navi_the_clown) — ワイヤーフォーマットと悪用技術
• bynar.io — CVE-2026-43760
• Huntress (Bryan Masters, Stuart Ashenbrenner) — 検出ガイダンス

法的免責事項

許可されたセキュリティテスト、防御的な検証、教育のみを目的としています。自分が所有するシステム、または 明示的な書面による許可 を得たシステムに対してのみ実行してください。上記のスクリーンショットは私が所有する Mac です。このツールを自分が管理していないシステムに対して使用することは、ほとんどの法域で違法です。作者は不正使用に対する責任を負いません。

ベンダーパッチが公開された後にのみリリースされ、意図的に読み取りプリミティブのみに限定されています。

スペイン語

screensharingd — macOS の 画面共有 のデーモン（TCP 5900）— は、 誰も資格情報を提示しなくても認証済みと見なされる可能性があります。SRP フローの フレーム長バリデータが廃止された成功ステータスを返すため、接続は 時期尚早に認証済みとして扱われます。Apple はこれを "improved state management" と表現しています。暗号化は決して破られておらず、その周囲のステートマシンが破られていました。

そこからセッションは 平文 で継続し、特権を持つファイルコピー ヘルパー（SSFileCopySender / SSFileCopyReceiver）は Full Disk Access を保持するため、 root としての任意ファイルの読み書き が TCC をバイパスして可能になります — そこから RCE まで LaunchDaemon ひとつ分です。認証前、リモート、root、デフォルト設定。

この PoC は 読み取り専用 です。root のみが読み取れるファイルを読み取ることでバイパスを実証し、 ターゲットには何も書き込みません。

対処法: 26.6.1 / 15.7.9 / 14.8.9 に更新する — これが唯一の本当の修正です。できない場合は、 画面共有を無効化します。パスワードをローテーションしたりアカウントを削除しても 効果はありません。 障害は認証前に到達するからです。そして、5900 をインターネットに 公開しないでください。

自分の所有する機器、または書面による許可を得た場合にのみ使用してください。