Imaginez un instant votre Mac, branché tranquillement sur le réseau, en train de travailler pour quelqu’un d’autre sans que vous le sachiez. Pas pour voler vos fichiers, pas pour vider votre portefeuille crypto, mais pour miner du Monero en arrière-plan, 24 heures sur 24. C’est exactement ce qui s’est produit récemment avec une faille critique dans le service de partage d’écran de macOS. Des attaquants ont réussi à prendre le contrôle total de machines exposées sur internet, à obtenir les droits root et à installer des logiciels de minage. Apple a réagi, mais le nombre de Mac potentiellement vulnérables laisse songeur. Voici ce qu’il faut absolument savoir.
Une faille d’authentification qui ouvre grand les portes
Le cœur du problème se trouve dans le mécanisme d’authentification du partage d’écran, ce fameux service qui permet de prendre le contrôle d’un Mac à distance. Selon les analyses techniques, la vulnérabilité, identifiée sous la référence CVE-2026-65400, repose sur une mauvaise gestion de l’état pendant le processus Secure Remote Password. Un attaquant connecté au réseau pouvait faire croire au système qu’une connexion non authentifiée était en réalité validée. Résultat : accès privilégié sans jamais fournir de mot de passe valide.
Ce n’est pas une faille banale. Elle permet d’obtenir les droits root, le niveau le plus élevé sur un système macOS. Une fois ce seuil franchi, l’attaquant peut installer ce qu’il veut, désactiver des protections, modifier des configurations et surtout lancer des processus de minage sans que l’utilisateur s’en aperçoive immédiatement. Les machines les plus exposées étaient celles dont le port 5900 était ouvert sur internet, une configuration encore trop fréquente sur certains serveurs bare-metal ou Mac mini loués à distance.
Comment les pirates ont transformé des Macs en fermes de minage
Les cas documentés par les autorités néerlandaises montrent un schéma clair. Les attaquants ciblaient les Macs accessibles depuis l’extérieur, exploitaient la faille pour prendre le contrôle total, puis déployaient un mineur Monero. Aucune tentative de vol de clés privées ou de mots de passe n’a été signalée dans ces incidents. L’objectif était purement le cryptojacking : utiliser la puissance de calcul de la machine compromise pour générer de la cryptomonnaie privée.
Pourquoi le Monero ? Parce que cette monnaie se mine efficacement avec des processeurs et des cartes graphiques grand public. Contrairement au Bitcoin qui exige désormais du matériel spécialisé, le Monero reste accessible avec des machines ordinaires. Les pirates n’avaient donc pas besoin de GPU haut de gamme ; un simple Mac mini ou un iMac de bureau suffisait à produire un revenu discret. Les experts notent que ce type de campagne reste discret car le mineur consomme des ressources de façon progressive, ce qui retarde souvent la détection par l’utilisateur.
Les autorités ont confirmé que dans chaque cas signalé, les machines avaient bien reçu le logiciel de minage après l’obtention des droits root. Aucun détail n’a été communiqué sur le nombre exact de victimes ni sur l’identité des attaquants. On sait seulement que l’exploitation était active au moment où l’alerte a été mise à jour.
Des dizaines de milliers de machines potentiellement exposées
Une recherche réalisée par une société spécialisée en cybersécurité a révélé l’ampleur du risque. Des dizaines de milliers d’hôtes apparaissaient comme potentiellement vulnérables. Il ne s’agit pas de dizaines de milliers de machines déjà compromises, mais de systèmes dont le service de partage d’écran était accessible depuis internet et n’avait pas encore reçu le correctif.
Le risque est particulièrement élevé pour les Macs hébergés en bare-metal. De nombreux prestataires proposent des Mac mini ou des Mac Studio loués à distance pour du développement, du rendu ou des tests. Dans certains environnements, le partage d’écran est activé par défaut au moment du provisionnement. Si la machine n’est pas immédiatement mise à jour, elle devient une cible idéale.
Même les utilisateurs particuliers ne sont pas complètement à l’abri. Un Mac personnel laissé avec le partage d’écran activé et un port ouvert sur un réseau mal sécurisé peut se retrouver dans la même situation. La différence réside surtout dans la surface d’attaque : les machines professionnelles exposées 24 heures sur 24 attirent évidemment plus d’attention.
Le correctif d’Apple et les versions concernées
Apple a publié les correctifs le 6 août 2026 dans trois branches de macOS : Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9. La description officielle parle d’un problème de gestion d’état dans l’authentification pouvant permettre à un attaquant réseau d’accéder au partage d’écran sans identifiants valides.
Important à souligner : changer le mot de passe du partage d’écran ne résout rien. Désactiver l’authentification VNC héritée ou supprimer des comptes utilisateurs autorisés non plus. L’exploitation se produit avant l’étape d’authentification classique. La seule solution fiable reste l’installation du correctif de sécurité ou, en attendant, la désactivation pure et simple du service de partage d’écran.
La note de criticité a également évolué. Initialement évaluée à 7.1, la faille a été relevée à 9.8 par les analyses américaines. Ce score reflète l’absence de privilèges nécessaires et l’absence d’interaction utilisateur. Une fois le port accessible, l’attaque peut se dérouler de façon totalement automatisée.
Pourquoi cette faille est particulièrement dangereuse
Plusieurs facteurs se combinent pour rendre cette vulnérabilité inquiétante. D’abord, le service de partage d’écran est souvent laissé actif sur des machines destinées à un usage distant. Ensuite, le port 5900 est facilement identifiable par des scans automatisés. Enfin, l’obtention des droits root ouvre la porte à n’importe quelle charge utile, pas seulement un mineur.
Dans le cas présent, les attaquants ont choisi le cryptojacking, probablement parce que c’est discret et rentable. Mais rien n’empêche qu’une autre campagne utilise la même faille pour déployer un ransomware, un outil d’espionnage ou un botnet. La surface d’attaque était large et le correctif n’était pas encore largement déployé au moment des premiers incidents signalés.
Les experts insistent aussi sur un point pratique : même si vous pensez avoir désactivé le partage d’écran, une vérification s’impose. Certains outils de gestion à distance ou scripts de configuration peuvent le réactiver sans que l’utilisateur en soit conscient. La recommandation reste donc claire : mettre à jour immédiatement et vérifier l’état du service.
Le cryptojacking, une menace qui ne cesse de muter
Le minage non autorisé n’est pas nouveau. Depuis des années, des campagnes ciblent aussi bien les navigateurs que les serveurs Windows ou Linux. Ce qui change ici, c’est la cible : des machines Apple, souvent perçues comme plus sûres, et une faille d’authentification pure plutôt qu’une technique d’ingénierie sociale.
Les précédents montrent que les pirates adaptent rapidement leurs outils. Dès qu’une vulnérabilité permet d’obtenir des ressources de calcul gratuites, les mineurs apparaissent. Le Monero, grâce à sa confidentialité native et à sa capacité à être miné sur du matériel classique, reste une valeur sûre pour ces opérations.
Dans d’autres campagnes, on a vu des malware s’installer après une simple ouverture de document ou un clic sur un lien. Ici, aucune interaction n’était nécessaire. L’attaque pouvait se dérouler en silence tant que le service était accessible. C’est cette automatisation qui rend le phénomène particulièrement préoccupant pour les administrateurs de parcs de machines distantes.
Que faire concrètement pour se protéger
La première action est évidente : installer les mises à jour de sécurité d’Apple sans attendre. Les versions concernées sont clairement listées. Une fois le correctif appliqué, le vecteur d’attaque est fermé.
Ensuite, vérifier l’état du partage d’écran. Dans les Préférences Système, section Partage, le service doit être désactivé s’il n’est pas strictement nécessaire. Si vous avez besoin d’un accès distant, privilégiez des solutions plus modernes et mieux sécurisées, idéalement derrière un VPN ou un tunnel authentifié.
Pour les environnements professionnels, un audit des ports ouverts s’impose. Un simple scan peut révéler si le port 5900 est accessible depuis l’extérieur. Les prestataires de Macs bare-metal ont également une responsabilité : s’assurer que les machines nouvellement provisionnées reçoivent immédiatement les correctifs et que les services non nécessaires restent désactivés.
Enfin, surveiller la consommation de ressources. Un Mac qui chauffe anormalement, dont les ventilateurs tournent en permanence ou dont la charge CPU reste élevée sans raison apparente mérite une investigation. Les outils de monitoring peuvent aider à détecter un mineur discret.
Les limites de la détection et les zones d’ombre
Les autorités ont confirmé l’exploitation active, mais de nombreuses questions restent sans réponse. Combien de machines ont réellement été compromises ? Quelle était l’ampleur exacte de la campagne ? Quels pools de minage étaient utilisés ? Aucun indicateur de compromission détaillé n’a encore été publié au moment des dernières communications.
Cette absence d’informations complètes est classique dans les premières phases d’une campagne. Les équipes de réponse aux incidents travaillent souvent sous contrainte de confidentialité. Il faudra probablement attendre des analyses plus poussées pour avoir une vision précise de l’impact.
En attendant, le principe de précaution s’applique. Tout Mac qui a pu être exposé avec le partage d’écran activé avant le 6 août 2026 devrait être considéré comme potentiellement à risque et inspecté en conséquence.
Une leçon plus large sur la sécurité des services distants
Cette affaire rappelle une vérité simple : tout service exposé sur internet devient une cible potentielle. Le partage d’écran n’est pas intrinsèquement dangereux, mais il l’est lorsqu’il est accessible sans protection supplémentaire et qu’une faille d’authentification existe.
Les administrateurs et les utilisateurs avancés ont tendance à sous-estimer les risques liés aux services hérités. Le protocole VNC, même modernisé, reste une surface d’attaque historique. Les alternatives plus récentes, basées sur des protocoles chiffrés et des authentifications fortes, offrent généralement un meilleur niveau de protection.
La rapidité avec laquelle Apple a publié le correctif montre que l’entreprise prend ces signalements au sérieux. Mais la publication d’un correctif ne suffit pas si les utilisateurs ne l’installent pas. Le délai entre la disponibilité du correctif et son déploiement à grande échelle reste souvent la fenêtre d’opportunité des attaquants.
Le Monero, cible privilégiée des cryptojackers
Le choix du Monero n’est pas anodin. Cette cryptomonnaie est conçue pour maximiser la confidentialité des transactions. Les adresses de destination et les montants sont difficiles à tracer, ce qui complique le travail des enquêteurs. De plus, l’algorithme de minage reste accessible aux processeurs classiques, ce qui permet d’utiliser n’importe quelle machine compromise.
Au moment des faits, le Monero évoluait autour de 414 dollars, avec une variation journalière limitée. Ce niveau de prix, combiné à la relative discrétion du minage, rend l’opération rentable même avec un nombre modéré de machines. Les pirates n’ont pas besoin d’une armée de serveurs ; quelques dizaines de Macs bien dimensionnés peuvent déjà générer un revenu intéressant sur la durée.
D’autres campagnes de cryptojacking ont déjà ciblé des infrastructures cloud ou des serveurs d’entreprise. L’apparition de ce type d’attaque sur des machines Apple confirme que plus aucun écosystème n’est totalement épargné.
Ce que révèle cette affaire sur l’écosystème Mac distant
Le marché des Macs loués à distance a explosé ces dernières années. Développeurs iOS, créatifs, équipes de test : beaucoup préfèrent disposer d’une machine Apple réelle plutôt que d’un émulateur. Cette demande a conduit à la multiplication de prestataires proposant des Mac mini ou des Mac Studio en location.
Dans ce contexte, la gestion de la sécurité devient un enjeu collectif. Un prestataire qui livre des machines avec le partage d’écran activé et sans correctif à jour expose non seulement ses clients, mais aussi l’ensemble de son infrastructure. Les bonnes pratiques imposent désormais un durcissement systématique dès le provisionnement : correctifs appliqués, services inutiles désactivés, accès distant restreint.
Les clients, de leur côté, ne peuvent plus se contenter de faire confiance. Une vérification rapide de l’état des services et de la version de macOS s’impose à chaque nouvelle location.
Les suites possibles de cette campagne
Pour l’instant, les autorités se sont contentées de confirmer l’exploitation et de recommander le correctif. Aucune attribution n’a été rendue publique. Il est possible que d’autres équipes de réponse aux incidents publient prochainement des indicateurs plus précis : hashes des binaires de minage, adresses de pools, signatures réseau.
Ces informations permettront de mieux mesurer l’ampleur réelle de la campagne et d’aider les administrateurs à détecter d’éventuelles infections passées. En attendant, la priorité reste la mise à jour et la réduction de la surface d’attaque.
Il n’est pas exclu que d’autres vulnérabilités similaires soient découvertes dans les mois qui viennent. Les chercheurs en sécurité scrutent désormais de près les mécanismes d’authentification des services distants d’Apple. Cette attention accrue est une bonne nouvelle pour la sécurité globale de l’écosystème.
Une vigilance qui doit rester permanente
Cette affaire illustre parfaitement le cycle classique des vulnérabilités critiques : découverte, exploitation active, correctif, déploiement progressif. Entre chaque étape, une fenêtre d’opportunité existe pour les attaquants. Plus le service est répandu et plus le correctif tarde à être appliqué, plus le risque est élevé.
Pour les utilisateurs de Mac, le message est clair. Les mises à jour de sécurité ne sont pas optionnelles, surtout lorsque le système est exposé d’une manière ou d’une autre. Le partage d’écran, pratique au quotidien, devient un risque dès qu’il sort du réseau local protégé.
Les entreprises et les freelances qui s’appuient sur des Macs distants ont une responsabilité particulière. Un audit régulier des configurations, une politique de mise à jour stricte et une surveillance des ressources système constituent désormais le minimum vital.
Le cryptojacking reste une menace discrète mais réelle. Tant que des machines puissantes restent accessibles et vulnérables, des acteurs malveillants continueront de les transformer en sources de revenus silencieuses. Apple a fermé la porte cette fois-ci. À chacun de s’assurer que la sienne reste bien verrouillée.
Les prochains mois diront si d’autres campagnes similaires émergent ou si le correctif a suffi à tarir cette source d’exploitation. En attendant, la prudence reste de mise. Un Mac à jour et correctement configuré est encore la meilleure défense contre ce type de menace.
La cybersécurité n’est jamais un état figé. Elle est un processus continu d’adaptation. Cette faille, comme d’autres avant elle, rappelle que même les systèmes réputés robustes peuvent céder face à une erreur de conception dans un mécanisme d’authentification. La réactivité d’Apple a limité les dégâts, mais la leçon demeure : aucun service exposé n’est totalement anodin.
Pour conclure, si vous administrez des Macs, vérifiez dès maintenant leur version et l’état du partage d’écran. Si vous louez des machines distantes, exigez des prestataires qu’ils appliquent les correctifs avant livraison. Et si vous êtes simple utilisateur, n’ignorez plus les notifications de mise à jour. Dans le monde actuel, un retard de quelques jours peut suffire à transformer votre machine en outil de minage pour un inconnu.
