macOS Screen Sharing 爆免密碼漏洞：三個版本即刻更新，未升級先關分享
Tahoe、Sequoia、Sonoma 都中招，服務開住先有風險
Apple 8 月 6 日推出 macOS Tahoe 26.6.1、Sequoia 15.7.9 同 Sonoma 14.8.9，三個更新都係修補同一個 Screen Sharing 漏洞 CVE-2026-65400。iThome 報道指呢批屬少見嘅非例行更新；研究人員已經公開概念驗證程式，令未更新嘅風險高咗。暫時未見 Apple、Huntress 或 CISA 指漏洞已俾人實際用嚟攻擊，所以唔使當成大規模入侵，不過有開螢幕分享嘅 Mac 真係唔值得再拖。
裝咗 7 月更新都未算搞掂
Apple 7 月 27 日先推出 Tahoe 26.6、Sequoia 15.7.8 同 Sonoma 14.8.8，入面包含幾個 Screen Sharing Server 修補，當中有連線攔截、拒絕服務、舊式 VNC 密碼外洩，同埋 CVE-2026-43760 呢類存取權限問題，實際組合會因 macOS 分支而異。Huntress 分析指，CVE-2026-43760 要攻擊者先經舊式 VNC 驗證；今次 CVE-2026-65400 可以喺登入前繞過驗證，兩者唔好撈亂。即使版本顯示 26.6、15.7.8 或 14.8.8，仍然要再升一級。
圖片：Huntress
攻擊者要先連到 Screen Sharing 服務
呢個漏洞有明確前提：目標 Mac 嘅 Screen Sharing 服務要開住，而且攻擊者要連得到部機。Huntress 指一般 Mac 預設冇開 Screen Sharing；Apple 嘅使用說明亦指出，呢個功能係畀其他電腦遙距連入部 Mac。，預設 TCP 連接埠係 5900。攻擊者唔一定要駁住同一個 Wi‑Fi；屋企 router 冇做連接埠轉送，風險自然低啲，但公司 VPN、辦公室或學校 LAN、雲端託管 Mac，以至直接向 Internet 開放 5900 嘅環境都可能俾人接觸到。
Apple 只確認繞過驗證，root 影響來自研究分析
Apple 公告寫得相當保守，只確認網上攻擊者有機會冇有效憑證都通過 Screen Sharing 驗證，成因係狀態管理出錯。Huntress 拆解後指問題出喺 Secure Remote Password 驗證流程：程式錯誤沿用成功狀態，仲會建立冇加密保護嘅連線。研究人員驗證到攻擊者可以 用 root 身份任意讀寫檔案，再靠 LaunchDaemon 或 shell 啟動檔觸發程式碼；部分方法要等部機重開或有人開 Terminal，而用 cron 即時執行嗰個 PoC 就只適用於關咗 SIP 嘅 Mac。
改密碼同收窄用戶名單幫唔到手
平時處理遙距存取風險，好多人第一反應係換 VNC 密碼、停用舊式 VNC 驗證，或者將「允許取用」由所有用戶改成指定帳戶。Huntress 測試顯示，呢幾招都擋唔到 CVE-2026-65400，因為漏洞發生喺系統正式核對帳戶之前。PoC 喺冇開舊式 VNC 密碼、亦冇准許任何本機帳戶嘅情況下仍然成功，所以真正有效嘅處理只有裝修補；趕唔切更新，就先停用成個 Screen Sharing 服務。
點樣檢查版本同暫時關閉
先按左上角 Apple 選單，入「關於這部 Mac」查看版本；跟住去 系統設定 ＞ 一般 ＞ 軟件更新，確認至少係 Tahoe 26.6.1、Sequoia 15.7.9 或 Sonoma 14.8.9。暫時更新唔到嘅話，去 系統設定 ＞ 一般 ＞ 分享，將「螢幕分享」關掉。Apple 指螢幕分享同 Remote Management 唔可以同時開，公司 IT 最好再檢查 MDM 設定、防火牆規則同 5900 連接埠，避免有部機表面冇人用，實際仍然經公司 LAN、VPN 或公網俾人連入。
PoC 已公開，更新唔好再拖
今次最值得公司 IT 留意嘅背景，係漏洞資料喺 7 月更新後好快公開，研究人員再拆出讀寫檔案同執行程式碼方法，Apple 到 8 月 6 日就補多一輪。漏洞嘅技術細節同 PoC 已經公開，其他人可以照住研究，繼續用舊版嘅風險自然高咗。未見實際攻擊唔代表可以等下個例行更新，有開 Screen Sharing、Remote Management 或託管 Mac 服務嘅環境，應該優先清點同升級。
參考來源
- iThome — Apple緊急修補macOS螢幕分享功能漏洞，若未更新可能導致攻擊者繞過驗證取得Root權限 — original report
- Apple：macOS Tahoe 26.6.1 保安內容 — 確認 CVE-2026-65400、Tahoe 修補版本、日期同官方影響描述
- Apple：macOS Sequoia 15.7.9 保安內容 — 確認 Sequoia 受影響同修補版本
- Apple：macOS Sonoma 14.8.9 保安內容 — 確認 Sonoma 受影響同修補版本
- Huntress：CVE-2026-43760 同 CVE-2026-65400 技術分析 — 確認預先驗證繞過、Screen Sharing 開啟條件、root 檔案讀寫、RCE 方法限制同 PoC 狀態
- Apple：開啟或關閉 Mac 螢幕分享 — 確認 Screen Sharing 預設用途、設定位置、關閉步驟同 Remote Management 關係
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
