CyberSecurityAction

脆弱性情報

macOS画面共有の認証バイパス脆弱性（CVE-2026-65400）、暗号資産採掘マルウェアに悪用

macOSの画面共有機能（VNC/ポート5900）における不適切な認証の脆弱性（CVE-2026-65400）が、暗号資産採掘マルウェアを配布する攻撃で悪用されている。NCSC-NLが公表し、Appleは修正アップデートを公開済みである。

喜村 圭佑（編集責任者）更新 約4分

SHARE

XB!in
macOS画面共有の認証バイパス脆弱性（CVE-2026-65400）、暗号資産採掘マルウェアに悪用

THREAT GAUGE算出基準

IMPACT（影響範囲）7.5
URGENCY（対応緊急度）8.5
EXPLOIT（悪用の容易さ）8.0

“悪用確認済み・暗号資産採掘マルウェア配布・認証バイパス”

01 · Overview

ニュースの概要

macOSの画面共有機能に存在する不適切な認証の脆弱性（CVE-2026-65400）が、ポート5900（VNC）をインターネットに公開しているmacOSホストを標的とした暗号資産採掘マルウェア（クリプトマイナー）の感染キャンペーンで積極的に悪用されていることが、オランダ国家サイバーセキュリティセンター（NCSC-NL）の公表により明らかになった。Appleは脆弱性を修正するアップデートを公開しており、対象のmacOSバージョンへの早急な適用が求められる。

画面共有機能（VNCプロトコル）はmacOSに標準搭載されており、有効化されると外部からのリモートデスクトップ接続を受け付けるためにポート5900/TCPでリッスンを開始する。本脆弱性は画面共有機能における認証プロセスの実装に不備があり、攻撃者が有効な認証情報なしにセッションを確立できる状態であった。特にファイアウォールでポート5900を遮断せずにインターネットに公開していたホストが被害を受けたと報告されている。

悪用されたマルウェアは侵害したmacOSデバイスのCPU・GPUリソースを使用してMonero等の暗号資産を採掘するクリプトマイナーであると報告されている。クリプトマイナー自体はデータ流出を主目的としないが、初期アクセスを確立した攻撃者が後続でランサムウェアやスパイウェアを展開する可能性も排除できないため、感染が疑われる場合はフォレンジック調査が必要である。

CVE番号
CVE-2026-65400
影響製品
macOS（画面共有公開環境）
悪用状況
暗号資産採掘マルウェアに悪用確認
攻撃経路
ポート5900（VNC）公開ホスト
修正状況
Apple修正アップデート公開済み

具体的な影響を受けるmacOSバージョン範囲はApple公式ページを参照すること。マルウェアの詳細な技術分析は調査継続中の可能性がある。

02 · Analysis

詳細な原因解説

本脆弱性の根本原因は、macOSの画面共有機能（VNCサーバー実装）における認証プロセスの不備である。VNCプロトコルは本来クライアントが接続する際にパスワードベースの認証を要求するが、本脆弱性ではこの認証チェックを適切に実施しないコードパスが存在し、攻撃者が認証情報なしに画面共有セッションを確立できた。脆弱性の種類は「不適切な認証（Improper Authentication）」に分類される。

悪用に必要な前提条件は、標的のmacOSホストのポート5900がインターネットから到達可能であることのみである。システム環境設定から画面共有を有効にし、かつファイアウォールやNATでポート5900を外部に開放している環境が対象となる。認証情報は一切不要であり、攻撃の自動化・スクリプト化が容易なため被害が拡大しやすい構造となっている。

影響が広範に及ぶ構造的な理由として、macOSの画面共有機能はAppleの標準OSに組み込まれており、企業・教育機関・個人を問わず広く使用されている。特にリモートワーク環境の普及により、外部からのVNCアクセスを意図的または設定ミスで公開してしまっているケースが増加していることが背景にある。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

VNC依存を代替・削除する

Q. macOSのリモート管理をVNCに依存しない安全な方法に置き換えられるか？

Substitute（代替）では、VNCをApple Remote Desktop（ARD）やRDP over VPN、もしくはWebベースのMDM（Jamf、Kandji等）に置き換える。Eliminate（削除）では、画面共有が不要なデバイスは機能を完全に無効化し、攻撃面を根本から排除する。Modify（変更）では、やむを得ずVNCを使用する場合はポート番号変更・IP制限・SSH tunnelingを組み合わせることで悪用の難易度を上げる。リモートアクセスが真に必要な用途のみに機能を限定することが最も効果的な攻撃面削減策となる。

リモートワーク普及で拡大した攻撃面

Q. なぜリモートワーク普及後にVNC関連インシデントが増加するのか？

コロナ禍以降のリモートワーク定着により、自宅からオフィスや会社支給Macへリモートアクセスする需要が急増した。セキュリティポリシーの整備が追いつかない組織では、ユーザーが手軽に「画面共有を有効にしてルーターでポート転送」という設定を行うケースが発生する。この慣行的な設定がシステム全体の攻撃面を拡大させ、一台のMacが侵害された場合に同じネットワーク内の他システムへの侵入起点になるというシステム的リスクを生んでいる。MDMを用いたデバイス設定の一元管理が解決策となる。

ポート5900の公開停止を先行させる

最も優先すべき対応は、macOSの画面共有機能をインターネットに直接公開している状態の解消である。OSアップデートよりも前にポート5900への外部アクセスをファイアウォールで遮断することが被害リスクを即座に低減する。アップデートはその後に実施する。

すでに感染が疑われるデバイスについては、単純なOS再起動や画面共有の無効化だけでは不十分な場合がある。クリプトマイナーはLaunchAgents/LaunchDaemons経由で永続化されることが多いため、/Library/LaunchAgents/および~/Library/LaunchAgents/配下の不審なplistファイルを確認し、必要に応じてOSクリーンインストールを行う判断も必要である。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]（業種：[業種]）のIT管理者です。組織内のmacOSデバイス（[台数]台）の管理を担当しています。macOS画面共有機能の脆弱性CVE-2026-65400への対応として、以下を実施してください：①組織内で画面共有を有効にしているデバイスの確認手順、②ポート5900の公開を遮断するためのファイアウォール設定手順、③macOSアップデートを全台に展開するための[MDMツール]を使った手順、④感染疑いデバイスの初動調査手順。出力は社内向けセキュリティアドバイザリの形式でまとめてください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自組織の名称

自組織の業種・業態

管理対象のmacOS端末台数

使用しているMDM製品名

キーワード

  • macOS
  • CVE-2026-65400
  • 画面共有VNC
  • 暗号資産採掘マルウェア
  • 認証バイパス

SOURCES · 参考情報源