Apple lanza un parche de emergencia para vulnerabilidad de macOS que permite acceso sin contraseña y ya se explota. Los atacantes obtienen acceso root e instalan software de minería sin que el dueño del Mac lo detecte.
Claves de la operación
- Acceso root sin contraseña mediante Compartir pantalla. El fallo CVE-2026-65400 en el protocolo SRP permite autenticarse sin credenciales en el puerto 5900.
- Los ataques ya están en marcha con fines de criptominería. El Centro Nacional de Ciberseguridad de Países Bajos confirma explotación y despliegue de software de minería en equipos expuestos.
- Apple corrige Sonoma, Sequoia y Tahoe con un parche de emergencia. Las versiones anteriores a 14.8.9, 15.7.9 y 26.6.1 deben actualizarse; desactivar Compartir pantalla si no se usa.
El puerto 5900, una puerta abierta al control del Mac
El origen está en el protocolo Secure Remote Password (SRP) que macOS utiliza en el servicio de Compartir pantalla. Un atacante no necesita credenciales válidas ni intervención de la víctima: el sistema da por buena la autenticación y deja paso al control remoto.
Apple describe la causa como ‘un problema de autenticación resuelto mejorando la gestión de estado’, una formulación deliberadamente vaga. La firma de ciberseguridad Huntress detalla que la vulnerabilidad CVE-2026-65400 reside en la implementación del protocolo SRP. A partir de ahí, el acceso va más allá de mirar la pantalla: el atacante escala hasta root y puede leer, modificar o exfiltrar archivos.
Si el System Integrity Protection (SIP) está desactivado, el fallo también permite ejecutar código arbitrario. Un proceso auxiliar de Compartir pantalla arrastra un permiso firmado por Apple que concede acceso completo al disco. Esa es la llave maestra que el cibercriminal aprovecha.
Del parche urgente al riesgo en las empresas españolas
El Centro Nacional de Ciberseguridad de Países Bajos (NCSC-NL) actualizó su informe el 12 de agosto tras recibir notificaciones de explotación activa. Los atacantes han desplegado software de minería de criptomonedas en equipos Mac sin que sus propietarios lo supieran.
Un fallo en un servicio que muchos usuarios activan una vez y olvidan se ha convertido en una puerta de entrada con acceso root.
La mayoría de los casos se concentra en equipos con el puerto 5900 abierto a internet. No es una configuración recomendable, pero sigue presente en pymes y en entornos de trabajo remoto poco supervisados. En España, donde el teletrabajo se ha asentado desde la pandemia, el riesgo de equipos personales conectados a redes corporativas añade una capa de exposición. Apple ha publicado versiones corregidas: 14.8.9 para Sonoma, 15.7.9 para Sequoia y 26.6.1 para Tahoe.
La minería silenciosa consume CPU y electricidad, degrada el rendimiento y puede disparar la factura energética de las compañías. También es un vector para robar información y credenciales corporativas antes de que el usuario note nada.
Apple, la seguridad como activo de marca y la presión regulatoria
Apple ha construido su reputación empresarial sobre la seguridad y la privacidad. Este incidente no rompe ese relato, pero lo tensa. La respuesta con un parche de emergencia el 6 de agosto muestra vigilancia reactiva.
En términos regulatorios, la Ley de Ciberresiliencia europea exige a los fabricantes corregir las vulnerabilidades conocidas y notificar los incidentes. Que una empresa del tamaño de Apple publique un parche fuera de ciclo es ahora la mínima expectativa del mercado, no un gesto excepcional.
Para el ecosistema español, el aviso refuerza la necesidad de auditorías de superficie de exposición en entornos con equipos macOS. Las consultoras de ciberseguridad y los proveedores de TI verán crecer la demanda de controles sobre servicios de escritorio remoto.
Seguimos el caso: la Junta de Seguridad Nacional y el INCIBE no se han pronunciado públicamente sobre la incidencia en España, pero el patrón de explotación sugiere que cualquier Mac con el puerto 5900 abierto es un objetivo. El cierre pasa por actualizar y por auditar configuraciones. La superficie de exposición es clara y la solución también.
