Một lỗ hổng bảo mật nghiêm trọng trên macOS đang trở thành mục tiêu khai thác thực tế, khiến người dùng Mac có nguy cơ bị tin tặc chiếm quyền điều khiển từ xa. Cơ quan An ninh mạng Quốc gia Hà Lan (NCSC-NL) cảnh báo lỗ hổng mang mã CVE-2026-65400 có thể bị lợi dụng thông qua tính năng Screen Sharing để giành quyền root, cấp đặc quyền cao nhất trên hệ điều hành. Sau khi kiểm soát máy, kẻ tấn công có thể cài phần mềm đào tiền ảo Monero hoặc tiếp tục triển khai các hành vi nguy hiểm khác.

Điểm đáng lo là điều kiện để cuộc tấn công xảy ra không quá phức tạp nếu người dùng đã cấu hình Mac để truy cập từ xa. Lỗ hổng xuất phát từ cơ chế xác thực của Screen Sharing, trong đó lỗi quản lý trạng thái đăng nhập có thể cho phép kết nối trái phép mà không cần cung cấp mật khẩu hợp lệ. Tuy nhiên, máy nạn nhân phải bật Screen Sharing và dịch vụ này phải được phơi ra Internet. Trường hợp phổ biến là người dùng tự thiết lập chuyển tiếp cổng trên router để có thể điều khiển máy Mac từ xa, qua đó vô tình mở đường cho kẻ tấn công.

Screen Sharing là tính năng cần đặc biệt lưu ý nếu người dùng Mac thiết lập truy cập máy tính từ xa qua Internet.

Apple đã phát hành bản vá cho CVE-2026-65400 từ ngày 6/8, nhưng mức độ nguy hiểm của lỗ hổng chỉ thực sự được nhìn nhận rõ hơn sau đó. Nhà nghiên cứu bảo mật Alfredo Pesoli thuộc nhóm Bynario là người phát hiện và báo cáo vấn đề cho Apple. Ban đầu, lỗ hổng được chấm 7,1 điểm theo thang CVSS, thuộc nhóm nguy cơ cao. Tuy nhiên, đến ngày 14/8, CISA đã nâng điểm lên 9,8, mức nghiêm trọng nhất. Đáng chú ý, đánh giá mới cho rằng lỗ hổng có thể bị khai thác mà không cần đặc quyền ban đầu và có khả năng tự động hóa trên quy mô lớn. Sự thay đổi nhanh chóng này cho thấy rủi ro ban đầu có thể đã bị đánh giá thấp.

NCSC-NL sau đó xác nhận mối đe dọa không chỉ tồn tại trên lý thuyết. Trong cảnh báo cập nhật ngày 12/8, cơ quan này cho biết đã ghi nhận nhiều máy Mac có cổng 5900 công khai trên Internet bị xâm nhập và chiếm quyền root, sau đó bị cài phần mềm đào Monero. Cổng 5900 thường được sử dụng cho các dịch vụ liên quan đến VNC và Screen Sharing. Nguy cơ còn tăng lên khi mã khai thác thử nghiệm, hay proof-of-concept, đã xuất hiện công khai, giúp những kẻ tấn công có thêm công cụ để nghiên cứu và triển khai cuộc tấn công.

Một nhà nghiên cứu bảo mật độc lập sử dụng tài khoản @osxreverser cũng cho biết đã quét Internet và phát hiện khoảng 40.000 máy Mac đang bật Screen Sharing và để dịch vụ này lộ ra ngoài. Theo số liệu cá nhân được công bố, gần một nửa trong số đó có khả năng bị khai thác thông qua lỗ hổng. Con số này chưa được một cơ quan độc lập khác xác nhận, nhưng vẫn cho thấy quy mô đáng quan tâm của những hệ thống Mac đang trực tiếp phơi dịch vụ điều khiển từ xa ra Internet.

Điều khiến CVE-2026-65400 đặc biệt nguy hiểm là quyền root mà tin tặc có thể đạt được. Đây không đơn thuần là khả năng điều khiển một ứng dụng hoặc truy cập một thư mục cụ thể. Với đặc quyền cao nhất trên macOS, kẻ tấn công có thể đọc và sửa đổi dữ liệu hệ thống, cài đặt phần mềm độc hại, thay đổi cấu hình hoặc tìm cách đánh cắp thông tin nhạy cảm. Việc cài công cụ đào Monero được NCSC-NL ghi nhận mới chỉ là một trong những cách khai thác có thể xảy ra. Một khi quyền kiểm soát ở cấp hệ thống đã bị giành lấy, hậu quả thực tế còn phụ thuộc vào mục tiêu và công cụ mà tin tặc sử dụng.

Đáng chú ý, dù đã có bằng chứng về khai thác thực tế, CVE-2026-65400 tại thời điểm cảnh báo vẫn chưa xuất hiện trong danh mục Known Exploited Vulnerabilities (KEV) chính thức của CISA. Sự khác biệt này không có nghĩa lỗ hổng an toàn, mà cho thấy các cơ quan an ninh mạng có thể có độ trễ khác nhau trong quá trình xác minh và cập nhật danh sách cảnh báo. Với người dùng cuối, việc Apple đã phát hành bản vá và NCSC-NL xác nhận khai thác thực tế là những lý do đủ mạnh để không nên trì hoãn cập nhật.

Apple đã sửa lỗi trên các phiên bản macOS Tahoe 26.6.1, Sequoia 15.7.9 và Sonoma 14.8.9. Người dùng Mac nên vào phần cập nhật phần mềm của hệ thống và cài phiên bản tương ứng nếu thiết bị chưa được cập nhật. Với những máy chưa thể nâng cấp ngay, biện pháp tạm thời đơn giản nhất là tắt Screen Sharing trong System Settings > General > Sharing. Người dùng cũng nên kiểm tra router để xác định cổng 5900 có đang được chuyển tiếp trực tiếp ra Internet hay không.

Nếu thường xuyên cần truy cập Mac từ xa, việc mở cổng dịch vụ trực tiếp trên Internet cũng nên được cân nhắc lại. Các phương thức kết nối thông qua VPN có thể giúp giảm bề mặt tấn công so với việc phơi cổng điều khiển từ xa công khai. Trong bối cảnh lỗ hổng đã có dấu hiệu bị khai thác ngoài thực tế, việc cập nhật macOS, tắt Screen Sharing khi không cần thiết và rà soát cấu hình mạng là những bước đơn giản nhưng có thể giúp người dùng tránh biến chiếc MacBook của mình thành mục tiêu dễ dàng cho tin tặc.