Por Canuto  

Las autoridades neerlandesas han alertado sobre una vulnerabilidad crítica en macOS, CVE-2026-65400, que está siendo explotada activamente para instalar mineros de Monero en computadoras de usuarios. El fallo afecta el uso compartido de pantalla y permite a los atacantes tomar control remoto sin credenciales, con el puerto 5900 expuesto como vector principal.
***

  • La vulnerabilidad CVE-2026-65400 permite ejecución remota de código sin credenciales en macOS.
  • El NCSC de Países Bajos confirmó ataques activos que instalaron mineros de Monero en sistemas con el puerto 5900 abierto.
  • Apple lanzó un parche para macOS Tahoe, Sequoia y Sonoma, pero se recomienda desactivar el uso compartido de pantalla y actualizar de inmediato.

Las autoridades de Países Bajos han emitido una advertencia urgente: una vulnerabilidad de alta gravedad en macOS está siendo explotada activamente para instalar mineros de Monero en equipos de usuarios. Según reportó Ars Technica, el Centro Nacional de Ciberseguridad de los Países Bajos (NCSC) detectó abusos en múltiples sistemas donde el puerto 5900, utilizado para el uso compartido de pantalla, quedó expuesto a Internet. En todos los casos documentados, los atacantes lograron acceso como root y colocaron un minero de Monero en el equipo comprometido.

La vulnerabilidad, rastreada como CVE-2026-65400, posee una calificación de gravedad de 7,1 sobre 10 y se origina en un fallo en la gestión de estados de la función de uso compartido de pantalla de macOS. Este error permite que una parte remota ejecute código malicioso sin necesidad de credenciales, lo que convierte a cualquier Mac con esa función activa en un objetivo potencial. La explotación se realiza a través del puerto 5900, que el cortafuegos de macOS abre automáticamente cuando el uso compartido está habilitado.

La vulnerabilidad crítica en el uso compartido de pantalla

El uso compartido de pantalla es una herramienta legítima que permite a un usuario acceder de forma remota a otro equipo, pero también se convierte en una puerta de entrada cuando no se configura correctamente. La vulnerabilidad CVE-2026-65400 se debe a una falla en la gestión de estados, que es el proceso por el cual el sistema operativo registra eventos anteriores, interacciones de usuario y variables del sistema. Al explotar este fallo, un atacante puede obtener control total de la máquina sin necesidad de autenticación, un escenario que los investigadores de seguridad consideran particularmente peligroso.

Los detalles técnicos de la falla fueron presentados en la conferencia de seguridad Black Hat la semana pasada, justo antes de que Apple lanzara un parche para las versiones macOS Tahoe, Sequoia y Sonoma. El fabricante informó que la vulnerabilidad ‘puede’ permitir a un atacante sin credenciales obtener acceso a una Mac, aunque el lenguaje evasivo es común en este tipo de divulgaciones. El NCSC, por su parte, confirmó que se han observado ataques activos, lo que eleva la urgencia de aplicar la actualización.

La explotación se da cuando el puerto 5900 está expuesto a Internet, algo que ocurre cuando el uso compartido de pantalla está activado y el cortafuegos de macOS abre ese puerto de manera predeterminada. Los enrutadores y cortafuegos dedicados normalmente bloquean ese puerto a menos que se configuren para permitirlo, pero muchos usuarios no toman esas precauciones. En los incidentes reportados, los atacantes no solo accedieron al sistema, sino que colocaron un minero de Monero, una criptomoneda que por su diseño anónimo resulta atractiva para este tipo de operaciones maliciosas.

El minero de Monero se ejecuta silenciosamente en segundo plano, consumiendo los recursos de la Mac, como la CPU y la electricidad, para generar criptomonedas en beneficio del atacante. Esto no solo degrada el rendimiento del equipo, sino que también puede generar costos adicionales en la factura eléctrica para los usuarios. Además, los expertos advierten que el mismo exploit podría ser utilizado para instalar otro tipo de malware, como ladrones de credenciales o ransomware, lo que amplifica el riesgo más allá de la minería.

La alerta del NCSC y la explotación activa

El aviso del NCSC de Países Bajos llegó a principios de esta semana con un mensaje claro: la vulnerabilidad se está abusando de forma activa en múltiples sistemas. La agencia neerlandesa explicó que todos los casos observados tenían en común que el puerto 5900 era accesible desde Internet y que los atacantes habían accedido como root al sistema afectado. Esto indica que la explotación no requiere de acciones complejas por parte de la víctima, solo que su Mac tenga el uso compartido de pantalla habilitado y que su puerto no esté bloqueado por un cortafuegos o enrutador.

La elección de Monero como criptomoneda para minar no es casual, ya que su protocolo ofrece un alto grado de privacidad y anonimato, lo que dificulta el rastreo de las transacciones. Los ciberdelincuentes suelen aprovechar las vulnerabilidades en sistemas operativos populares para instalar mineros de Monero, como se ha visto en ataques anteriores a servidores y otros dispositivos. En este caso, la capacidad de obtener acceso root en una Mac sin credenciales hace que la amenaza sea especialmente grave, pues el atacante puede desactivar defensas o persistir en el sistema.

Aunque el NCSC destacó que hasta el momento solo se han detectado mineros de Monero, los investigadores no descartan que los exploits puedan ser adquiridos o utilizados para fines más dañinos. La vulnerabilidad fue revelada durante la conferencia Black Hat, lo que incrementa la probabilidad de que otros actores la estudien y desarrollen variantes. La ventana entre la divulgación pública y la aplicación de parches es crítica, y en este caso, Apple ya lanzó la actualización, pero los usuarios deben asegurarse de instalarla lo antes posible.

El portavoz de seguridad neerlandés recomendó a los administradores de sistemas y a los usuarios individuales verificar de inmediato si sus equipos tienen el puerto 5900 abierto y, si no es necesario, desactivar el uso compartido de pantalla. La práctica de dejar esa función habilitada permanentemente es un riesgo innecesario, incluso para quienes la utilizan con frecuencia. Las conexiones remotas deberían realizarse a través de una VPN o un túnel SSH, en lugar de exponer el puerto directamente a Internet.

El parche de Apple y las recomendaciones de seguridad

Apple lanzó la semana pasada un parche para CVE-2026-65400 en sus tres últimas versiones de macOS: Tahoe, Sequoia y Sonoma. El fabricante no proporcionó detalles técnicos sobre el fallo en su boletín de seguridad, pero la comunidad de seguridad ha confirmado que la corrección aborda el problema de gestión de estados que permitía la ejecución remota de código. Los usuarios deberían actualizar su sistema operativo de inmediato, ya que el parche es la única defensa garantizada contra esta explotación específica.

A pesar de la existencia del parche, los expertos recomiendan adoptar una estrategia de defensa en profundidad que no dependa únicamente de las actualizaciones. Desactivar el uso compartido de pantalla cuando no se esté utilizando es la medida más sencilla y efectiva para evitar la exposición del puerto 5900. También se aconseja revisar la configuración del cortafuegos de macOS para asegurarse de que no haya reglas que permitan conexiones entrantes no deseadas, y considerar el uso de alternativas como el acceso remoto mediante VPN o túneles SSH.

El NCSC neerlandés enfatizó que los usuarios deben ser conscientes de que el simple acto de activar el uso compartido de pantalla abre automáticamente el puerto en el cortafuegos, a menos que se configure manualmente algo distinto. Esto significa que incluso los usuarios que no han configurado redireccionamiento en su enrutador están potencialmente expuestos si su Mac está conectada directamente a Internet o si el enrutador tiene el puerto abierto por defecto. La recomendación es revisar el estado del servicio en Preferencias del Sistema o en la Configuración del Sistema, según corresponda.

En el entorno de las criptomonedas, esta noticia sirve como recordatorio de que los mineros maliciosos son una amenaza persistente que aprovecha cualquier hueco en la seguridad. Los ataques para instalar mineros de Monero se han vuelto comunes contra servidores mal configurados, pero ahora están alcanzando a los usuarios de macOS. Los equipos que son comprometidos no solo pierden rendimiento, sino que también pueden ser utilizados como punto de entrada para otros ataques dentro de una red corporativa.

Implicaciones para la comunidad de criptomonedas

Para quienes están involucrados en el ecosistema de las criptomonedas, este incidente subraya la importancia de mantener los sistemas actualizados y de vigilar las señales de actividad sospechosa en los equipos. Un minero de Monero instalado de forma furtiva consume una cantidad considerable de recursos, por lo que los usuarios pueden notar un aumento en el uso de la CPU, un calentamiento excesivo o una reducción en la duración de la batería en las MacBook. Estos síntomas suelen ser la primera señal de que el equipo ha sido comprometido, aunque la infección puede pasar desapercibida durante semanas.

La elección de Monero no es casual: esta criptomoneda se ha convertido en la favorita de los ciberdelincuentes debido a su privacidad y a la dificultad de rastrear las transacciones. El minero instalado por los atacantes genera monedas que son enviadas directamente a las billeteras del atacante, sin dejar un rastro claro en la cadena de bloques. Esto dificulta que las autoridades puedan recuperar los fondos o identificar a los responsables, un factor que hace que este tipo de ataques siga siendo lucrativo.

La explotación de esta vulnerabilidad también destaca el riesgo de usar servicios de acceso remoto sin medidas de seguridad adicionales. Incluso en entornos corporativos, es posible que algunos empleados hayan habilitado el uso compartido de pantalla para facilitar el trabajo a distancia, sin considerar las implicaciones de seguridad. Las empresas deberían implementar políticas que prohíban o limiten el uso compartido de pantalla, salvo cuando sea estrictamente necesario y siempre protegido por una VPN.

El caso ilustra la creciente convergencia entre la seguridad informática y el mundo de las criptomonedas, donde los mineros maliciosos se han convertido en una de las cargas más comunes en ataques automatizados. A medida que el valor de las criptomonedas siga siendo significativo, es probable que veamos más vulnerabilidades dirigidas a instalar este tipo de software. Los usuarios y administradores deben mantenerse informados sobre las últimas amenazas y aplicar las mejores prácticas de higiene digital para minimizar el riesgo.

En resumen, la vulnerabilidad CVE-2026-65400 representa una amenaza real para los usuarios de macOS, especialmente aquellos que tienen activado el uso compartido de pantalla. El parche de Apple es imprescindible, pero las medidas preventivas como desactivar la función cuando no se necesite y limitar la exposición del puerto 5900 son igualmente cruciales. Los incidentes reportados por el NCSC sirven como una advertencia de que la minería maliciosa sigue siendo un negocio rentable para los ciberdelincuentes y que la seguridad nunca debe darse por sentada.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados