CVE-2026-65400 macOS 画面共有の脆弱性｜影響確認と対策

はじめに

macOS の画面共有（Screen Sharing）に、有効な資格情報なしで認証できてしまう脆弱性 CVE-2026-65400 が公表されました。Apple は 2026 年 8 月 6 日に修正版を緊急公開し、オランダの NCSC-NL は実際の悪用を報告しています。CISA は 8 月 18 日にこの CVE を Known Exploited Vulnerabilities Catalog（KEV）へ追加しました。

日本語の既存記事は、脆弱性の概要とアップデート案内が中心です。この記事では、企業の情報システム部門やセキュリティ担当者が「自社の Mac が対象か」「今すぐ更新すべきか」「更新できない場合に何を止めるか」を判断できるよう、公式情報と技術調査を横断して整理します。

結論を先に示します。修正版未満の macOS では、修正版への更新を優先することをおすすめします。特に画面共有が有効で TCP 5900 がインターネットから到達できる端末は緊急度が高く、更新とあわせて侵害の有無を確認する必要があります。外部公開していない場合でも、社内 LAN や侵害済み端末からネットワーク的に到達できるのであれば、この脆弱性の影響を受け得るため「更新不要」とは判断できません。

CVE-2026-65400 とは

macOS の画面共有サービスにおける認証処理の問題です。Apple は影響を、ネットワーク上の攻撃者が有効な資格情報なしに画面共有へ認証できる可能性がある、と説明しています。修正は状態管理の改善によって行われました。

参考: About the security content of macOS Tahoe 26.6.1（Apple）
“An attacker on the network may be able to authenticate to Screen Sharing”
（ネットワーク上の攻撃者が画面共有へ認証できる可能性がある）
https://support.apple.com/en-us/148170

Apple の説明と研究者の技術評価は分けて読む

Apple の公式アドバイザリに記載されているのは、上記の「認証回避」までです。root 権限の取得、任意ファイルの読み書き、リモートコード実行といった記述は、Apple の公式発表ではなく、NCSC-NL の観測結果とセキュリティ企業・研究者の技術調査に基づく評価です。

NCSC-NL の観測

実際の攻撃で root 権限が取得され、Monero の暗号資産マイナーが設置されていた

Huntress の技術分析

画面共有の Secure Remote Password（SRP）実装の問題により、認証前の段階でリモートコード実行に至り得る

Calif の技術分析

screensharingd が root として動作するため、認証を回避した時点で端末全体の制御につながる

なお、この脆弱性の成立メカニズムについては、公開されている技術記事の間で説明が一致していません。Huntress はフレーム長検証が誤った成功ステータスを返す問題として説明していますが、Calif は同種のフレーム長の問題を 7 月 27 日に修正された別のバグ（CVE 未採番）とし、CVE-2026-65400 は状態遷移の不整合であると説明しています。いずれの説明を採っても、影響判定と対処（修正版への更新、画面共有の停止、到達経路の制限）は変わりません。 本記事ではメカニズムの詳細には踏み込まず、影響判定に必要な範囲にとどめます。

CVSS 評価の出典に注意

CVE-2026-65400 の CVSS は、評価元によって値が異なります。

NVD のページに表示されている 9.8 は NVD 自身の評価ではなく CISA-ADP による評価です。CISA-ADP は 8 月 14 日に CVSS ベクターを変更し、7.1 から 9.8 へ更新しています。公開されている変更履歴では、変更理由までは明示されていません。社内で深刻度を報告する際は、出典と評価時点を明示することをおすすめします。

参照: NVD CVE-2026-65400 詳細ページ
https://nvd.nist.gov/vuln/detail/CVE-2026-65400

CISA KEV 掲載と対応期限の位置づけ

CISA は 2026 年 8 月 18 日に本 CVE を KEV へ追加し、期限を 8 月 21 日としています。SSVC の判定は Exploitation が active、Automatable が yes、Technical Impact が total です。この 3 つが揃うと、BOD 26-04 では外部公開資産に対して最短の期限が適用されます。

この期限は米国連邦民間行政機関（FCEB）に課される義務であり、日本の民間組織に直接適用されるものではありません。 ただし、悪用の有無と外部公開状況から優先度を決める考え方は、自社の脆弱性管理にも移植できます。判断ロジックの詳細は、関連記事『BOD 26-04 における対応期限の決め方』で整理しています。

CVE-2026-43760 との違い

同じ画面共有に関係する CVE-2026-43760 と混同されやすいため、違いを整理します。

今回優先して確認すべきなのは後者、8 月 6 日リリースの 26.6.1 / 15.7.9 / 14.8.9 が適用されているかです。7 月 27 日の更新を適用済みでも、CVE-2026-65400 の対象からは外れません。

影響を受ける条件と対象バージョン

修正版と影響対象

Apple が公開した修正版は次の 3 本です。いずれも 2026 年 8 月 6 日リリースで、修正内容は CVE-2026-65400 の 1 件のみです。

NVD が登録している影響範囲は、14.0 以上 14.8.9 未満、15.0 以上 15.7.9 未満、26.0 以上 26.6.1 未満です。7 月 27 日の 26.6 / 15.7.8 / 14.8.8 も影響対象に含まれます。

macOS 13 Ventura 以前は、公開情報上の影響対象にも修正版にも含まれていません。Apple や CVE レコードに影響の有無を明示する記載がないため、影響対象とも「影響なし」とも判断できない状態です。 影響対象と断定せずに、画面共有を利用している場合は機能の停止や到達経路の制限、サポート対象 OS への移行を検討する形が現実的です。サポート状況は Apple のセキュリティリリース一覧（https://support.apple.com/en-us/100100 ）で確認できます。

新規構築端末が古いバージョンで立ち上がる問題

Huntress は、Sequoia と Sonoma の復元イメージ（IPSW）が古いバージョンにとどまっているため、そこから構築した端末は脆弱な状態で立ち上がり、更新するまでその状態が続くと指摘しています。あわせて、ホスト型の Mac 提供サービスでは画面共有や SSH が既定で有効な状態で払い出される場合があり、提供元のイメージが最新化されていないケースがあるとしています。キッティング直後や払い出し直後の端末ほど確認対象から漏れやすい点は、台数の多い環境で見落としやすいポイントです。

画面共有・リモートマネージメント・TCP 5900 の関係

Apple のポート一覧では、TCP 5900（Remote Framebuffer / RFB）を利用するのは Apple Remote Desktop と画面共有の両方とされています。

参照: TCP and UDP ports used by Apple software products（Apple）
https://support.apple.com/en-us/103229

また、Apple の画面共有ドキュメントでは、画面共有とリモートマネージメントを同時に有効にはできないと説明されています。

参考: Turn Mac screen sharing on or off（Apple）
“You can’t have both Screen Sharing and Remote Management on at the same time.”
（画面共有とリモートマネージメントを同時に有効にすることはできない）
https://support.apple.com/guide/mac-help/mh11848/mac

一方で、CVE-2026-65400 についてリモートマネージメントが影響対象に含まれるかどうかを明示した公式情報は確認できていません。Apple のアドバイザリはコンポーネントを Screen Sharing とだけ記載しています。公開情報だけでは断定できないため、本記事では両方の設定と TCP 5900 の待ち受け状態を確認する前提で整理します。

インターネット非公開でも対象外とは判断できない

NCSC-NL が確認した実悪用の事例は、いずれも画面共有が有効で TCP 5900 がインターネットから到達可能な端末でした。ただし Apple の説明は「ネットワーク上の攻撃者」であり、インターネット公開に限定されていません。整理すると次のようになります。

インターネットに公開された TCP 5900

実悪用が確認された、最も危険度の高い状態

外部非公開でも到達可能な経路がある場合

社内 LAN、管理ネットワーク、拠点間 VPN、侵害済み端末などから到達できるのであれば影響を受け得る

外部公開していないことだけを理由に更新を見送る判断

根拠として不十分

通信制限

暫定的なリスク低減策であり、修正版への更新が基本

自環境への影響を確認する流れ

判定は「バージョン」「機能の有効化」「到達経路」の 3 段階で進めると整理しやすくなります。

判定の目安

「画面共有が無効」であっても、設定が意図せず戻る運用（キッティングイメージ、構成プロファイル、手動の一時有効化など）が残っていないかは、あわせて確認しておくことをおすすめします。

修正版への更新と更新できない場合の対策

恒久対処: 修正版へのアップデート

対処の基本は、26.6.1 / 15.7.9 / 14.8.9 のいずれかへ更新することです。システム設定 →「一般」→「ソフトウェアアップデート」から適用し、再起動します。MDM を運用している環境では、対象バージョンを指定した強制更新を配信し、適用状況を集計する方が確実です。

更新できない場合の暫定策

すぐに更新できない端末では、次の順で攻撃面を減らします。いずれも脆弱性そのものを取り除くものではないため、更新計画を立てたうえで併用する位置づけとして扱ってください。

   sudo /System/Library/CoreServices/RemoteManagement/ARDAgent.app/Contents/Resources/kickstart -deactivate

効果が期待できない対策

Huntress は、認証前に成立する問題であるため、通常のハードニングでは防げないと指摘しています。

参考: From Screen Share to Root Access（Huntress）
“As this is a pre-auth bug, the usual hardening does not help”
（認証前の問題であるため、通常のハードニングは効果がない）
https://www.huntress.com/blog/macos-screen-sharing-rce-patched

具体的には、アクセス許可ユーザーの削除、レガシー VNC パスワード認証の無効化、VNC パスワードの変更は、いずれもこの脆弱性への対策になりません。 これらを実施したことをもって対応済みと判断しないよう注意が必要です。

更新後に確認すること

1. OS バージョンが 26.6.1 / 15.7.9 / 14.8.9 以上になっていること
2. 画面共有・リモートマネージメントの設定が、意図した状態になっていること
3. 更新やイメージ再適用によって、共有設定が意図せず有効に戻っていないこと
4. ネットワーク側から TCP 5900 への到達可否を再確認し、暫定的に閉じたルールを戻すかどうかを判断すること
5. MDM のインベントリで、未適用端末が残っていないこと

実悪用を踏まえた侵害確認

何が確認されているか

NCSC-NL は、TCP 5900 がインターネットから到達可能だった複数のシステムで悪用を確認し、いずれの事例でも root 権限が取得され、Monero の暗号資産マイナーが設置されていたと報告しています。

参考: NCSC-2026-0280（NCSC-NL）
“In al deze gevallen was root toegang verkregen op het getroffen systeem”
（いずれの事例でも、対象システムで root 権限が取得されていた）
https://advisories.ncsc.nl/2026/ncsc-2026-0280.html

更新だけでは対応完了にならない理由

修正版の適用は、以後の侵入経路を塞ぐものです。すでに侵入され、権限昇格や永続化が行われていた場合、その状態はアップデートでは解消しません。 修正版未満の期間に TCP 5900 がインターネットから到達できていた端末については、更新と並行して次の観点を検討することをおすすめします。

一時的なネットワーク隔離

調査中に外部通信や横展開が続かないよう、対象端末を分離する

不審な画面共有セッションの確認

想定外の送信元 IP からの接続や、業務時間外の接続履歴がないか

プロセスと永続化設定の確認

見覚えのない常駐プロセス、LaunchDaemon、シェル起動ファイルの改変がないか

リソース消費の異常

CPU 使用率や消費電力、発熱の恒常的な上昇がないか

アカウントと認証情報への影響評価

侵害の疑いがある場合は、その端末からアクセス可能だった情報（ローカルアカウント、キーチェーン、SSH 鍵、クラウドサービスの資格情報など）を評価し、必要に応じて認証情報をローテーションする

インシデント対応への移行判断

上記で疑わしい点が見つかった場合、封じ込めと調査の体制へ切り替える

判断を誤りやすい 2 点

マイナーが見つからないことは、侵害されていない根拠にはなりません。 暗号資産マイニングは観測された活動の一例であり、同じ経路から別の目的の活動が行われた可能性を否定するものではありません。

アップデートによって侵害状態が解消することもありません。 更新は再侵入を防ぐ措置であり、すでに設置されたマルウェアや窃取された資格情報には作用しません。

調査の進め方

CVE-2026-65400 に固有の IOC は、Apple・CISA・NCSC-NL のいずれからも公表されていません。 セキュリティ企業からはハンティングの観点が公開されていますが、解析対象の PoC が CVE-2026-65400 のものか、同じ画面共有サービスに存在した別の問題のものかについて、公開記事の間で説明が一致していません。そのため、特定のイベント値を本 CVE 固有の痕跡として扱うことは避け、次の順で調査範囲を絞る方が確実です。

EDR や SIEM で端末側のイベントを収集していない環境では、端末単体で痕跡をたどることは難しくなります。その場合は、ネットワーク側で TCP 5900 の通信履歴や内部での横展開の兆候を確認する方向が現実的です。ネットワーク側での振る舞い検知については、関連記事『NDR 製品の選び方と横展開の検知』もあわせて参照してください。

まとめ

CVE-2026-65400 は、macOS の画面共有において有効な資格情報なしで認証できてしまう脆弱性です。実際の悪用が確認され、CISA KEV にも掲載されているため、修正版未満の端末では更新の優先度が高い状態にあります。外部公開の有無だけで対象外と判断せず、バージョン、機能の有効化、TCP 5900 の到達経路の 3 点で影響を判定することをおすすめします。

• 修正版は macOS 26.6.1、15.7.9、14.8.9 の 3 本
• 7 月 27 日公開の 26.6、15.7.8、14.8.8 も影響対象
• macOS 13 以前は影響対象にも修正版にも含まれず、影響有無を判断できない
• Apple の公式説明は認証回避まで、root 権限取得は研究者と NCSC-NL による評価
• NVD 表示の CVSS 9.8 は CISA-ADP による評価で、NVD 自身は未評価
• 許可ユーザー削除や VNC パスワード変更は対策にならない
• 外部公開されていた端末では、更新に加えて侵害確認の検討が必要

以上、最後までお読みいただきありがとうございました。