Uma empresa de pesquisa de segurança, Calif, anunciou que um agente impulsionado por inteligência artificial produziu exploits funcionais para dois bugs de root remoto pré-autenticação no macOS em apenas quatro horas. O bug mais rápido, identificado como CVE-2026-65400, já está sendo utilizado por atores de ameaça para instalar miners de criptomoeda Monero em sistemas vulneráveis.

A Apple divulgou o bug em 6 de agosto, creditando o pesquisador Alfredo Pesoli, da Bynario, pela descoberta original. A empresa enviou correções em macOS 26.6.1, macOS 15.7.9 e macOS 14.8.9. O aviso alertou que o serviço de compartilhamento de tela integrado, que abre a porta TCP 5900 quando habilitado, poderia ser abusado para obter acesso de root sem credenciais válidas.

Exploit gerado por IA e armação rápida

O agente de IA da Calif reverteu a atualização fora de banda da Apple - um sinal de que a questão era crítica - e, em seguida, gerou código funcional para ambos os bugs em menos de quatro horas. A empresa optou por reter detalhes técnicos sobre o CVE-2026-65400 até que a maioria dos Macs receba a correção, citando a facilidade com que o exploit foi criado.

Enquanto isso, o Centro Nacional de Cibersegurança dos Países Baixos (NCSC) revisou seu aviso em 12 de agosto após receber relatos de abuso ativo. A agência disse que todos os incidentes confirmados envolviam um atacante obtendo acesso de root e implantando um miner de Monero. O malware, provavelmente XMRig, executa em CPUs comuns, tornando mesmo um laptop sequestrado rentável.

Escopo de exposição

O pesquisador de segurança "osxreverser" varreu a internet em busca de hosts com a porta 5900 aberta e encontrou cerca de 40.000 máquinas macOS alcançáveis, quase metade delas nos Estados Unidos. A maioria eram IPs residenciais, mas a lista também incluía sistemas universitários e corporativos. Um bug pré-autenticação mais grave no daemon de compartilhamento de tela foi corrigido no macOS 26.6, mas o pesquisador que o descobriu não relatou à Apple.

Agências de pontuação discordam sobre a gravidade. O NCSC holandês atribuiu uma pontuação CVSS v3 de 7,1, enquanto a Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) classificou como 9,8, rotulando-a como crítica. O NIST ainda não publicou uma avaliação.

A resposta da Apple foi rápida: o aviso detalhou a vulnerabilidade e a correção foi disponibilizada dentro de dias após a apresentação pública da prova de conceito na Black Hat. A empresa recomenda que os usuários instalem a atualização imediatamente. Para aqueles que não conseguem corrigir, desabilitar o Compartilhamento de Tela nas Configurações do Sistema → Geral → Compartilhamento e bloquear a porta 5900 no roteador ou firewall são mitigações intermediárias.

Além da mineração de criptomoedas, o exploit concede aos atacantes acesso de root irrestrito, abrindo a porta para o roubo de credenciais, exfiltração de dados ou implantação de ferramentas maliciosas adicionais. Especialistas em segurança alertam que, embora muitos usuários não tenham a expertise para configurar VPNs ou túneis SSH para acesso remoto seguro, deixar o serviço exposto representa um risco substancial.

O episódio destaca uma tendência crescente: a descoberta de vulnerabilidades assistida por IA acelerando da pesquisa para a exploração no mundo real. No início deste ano, a Microsoft e o WordPress relataram descobertas semelhantes impulsionadas por IA, e uma startup recentemente arrecadou $60 milhões com a premissa de que a correção não pode mais acompanhar a geração automatizada de exploits.

Por enquanto, a defesa mais eficaz permanece simples: aplicar a correção da Apple, desligar o Compartilhamento de Tela quando não estiver em uso e garantir que os firewalls bloqueiem o tráfego de entrada na porta 5900. À medida que a IA continua a reduzir a barreira para a armação de falhas de software, a implantação rápida de correções se tornará cada vez mais crítica.

This article was written with the assistance of AI.
News Factory APP - agentic news to boost your SEO & AEO.