Khám Phá Lỗ Hổng Bảo Mật Nguy Hiểm Trên macOS: Những Điều Cần Lưu Ý

Cơ quan An ninh mạng Quốc gia Hà Lan (NCSC-NL) vừa phát đi cảnh báo về một lỗ hổng nghiêm trọng trong tính năng chia sẻ màn hình (Screen Sharing) của hệ điều hành macOS. Nếu bạn đang bật tính năng này, máy tính của bạn hoàn toàn có thể trở thành mục tiêu của tin tặc. Theo thông tin được báo cáo, kẻ xấu có thể chiếm quyền điều khiển root, quyền cao nhất trên hệ điều hành, và từ đó, cài đặt phần mềm đào tiền ảo Monero lên thiết bị của bạn. Lỗ hổng này được đánh ký hiệu là CVE-2026-65400 và đã được Apple sửa chữa từ ngày 6 tháng 8.

Vấn đề phát sinh từ cách mà tính năng chia sẻ màn hình quản lý bước xác thực. Bởi vì có lỗi trong việc xử lý trạng thái đăng nhập, những máy chạy phiên bản macOS chưa được cập nhật có thể bị kết nối từ xa mà không cần phải nhập mật khẩu hợp lệ. Điều kiện để người dùng có nguy cơ bị tấn công là máy của họ bật tính năng Screen Sharing và cổng 5900 – cổng mặc định cho dịch vụ này – bị lộ ra internet. Thông thường, điều này xảy ra do người dùng tự cấu hình chuyển tiếp cổng trên router để truy cập từ xa.

Nguy cơ từng bị đánh giá thấp

Ban đầu, Apple đã phát hành bản vá cho lỗ hổng này trong ba phiên bản macOS: Tahoe 26.6.1, Sequoia 15.7.9 và Sonoma 14.8.9, ghi chú rằng lỗi được khắc phục bằng cách cải thiện quản lý trạng thái. Tác giả phát hiện lỗ hổng là nhà nghiên cứu bảo mật Alfredo Pesoli, thuộc nhóm Bynario. Lúc đầu, lỗ hổng này chỉ được đánh giá với điểm số CVSS 7.1 – mức độ cao nhưng chưa phải nghiêm trọng nhất. Thế nhưng, đến ngày 14 tháng 8, Cơ quan An ninh mạng Mỹ CISA đã nâng điểm số lên 9.8, mức cao nhất có thể, và phân loại lại từ “cần một số quyền hạn nhất định” sang “không cần quyền hạn nào cũng có thể khai thác được”. Sự điều chỉnh này cho thấy lỗ hổng này thực sự nghiêm trọng hơn so với những gì được đánh giá ban đầu.

Các máy Mac đã bị tấn công

Vào ngày 12 tháng 8, NCSC-NL thông báo rằng đã ghi nhận nhiều vụ máy Mac có cổng 5900 mở ra internet đã bị chiếm quyền root và lấp đặt phần mềm đào Monero. Họ cũng lưu ý rằng mã khai thác đã được công bố công khai trên mạng, làm tăng khả năng bị tấn công. Một nhà nghiên cứu bảo mật tự do, sử dụng bút danh @osxreverser, cho biết đã tự quét và phát hiện khoảng 40.000 máy Mac đang bật tính năng chia sẻ màn hình và lộ cổng ra internet, trong đó gần một nửa có thể bị khai thác qua lỗ hổng này. Số liệu này chưa được bất kỳ cơ quan hay tổ chức nào khác xác nhận một cách độc lập.

Đặc biệt, tính đến thời điểm này, lỗ hổng này vẫn chưa được đưa vào danh sách các lỗ hổng đang bị khai thác chính thức (KEV) của CISA, mặc dù NCSC Hà Lan đã xác nhận có nhiều vụ khai thác thực tế. Điều này cho thấy sự không đồng bộ trong quá trình xác minh và cập nhật danh mục cảnh báo giữa các cơ quan an ninh mạng quốc gia.

Quyền root mà tin tặc chiếm được không chỉ dừng lại ở việc đào tiền ảo. Với quyền điều khiển tối cao trên hệ thống, kẻ tấn công có thể đọc, sửa đổi dữ liệu, cài đặt phần mềm độc hại, và thậm chí đánh cắp thông tin đăng nhập lưu trữ trên máy.

Cách phòng ngừa và bảo vệ thiết bị của bạn

Các người dùng Mac cần cập nhật máy của mình lên phiên bản macOS Tahoe 26.6.1, Sequoia 15.7.9 hoặc Sonoma 14.8.9 ngay lập tức nếu chưa thực hiện. Đối với những máy chưa thể cập nhật ngay, cách đơn giản nhất là tạm thời tắt tính năng chia sẻ màn hình trong System Settings > General > Sharing, và gạt công tắc Screen Sharing về chế độ tắt.

Đồng thời, những ai có thói quen kết nối từ xa vào máy Mac qua việc chuyển tiếp cổng trên router nên kiểm tra kỹ xem cổng 5900 có đang mở ra internet hay không. Nếu có, nên xem xét việc sử dụng các phương pháp kết nối an toàn hơn, chẳng hạn như VPN, thay vì để cổng này mở trực tiếp.