Apple a corrigé début août une vulnérabilité particulièrement sérieuse affectant le partage d’écran de macOS. Mais il était visiblement déjà trop tard pour certains utilisateurs. Le centre national néerlandais de cybersécurité confirme désormais que la faille a été exploitée sur plusieurs machines accessibles depuis Internet. Les attaquants pouvaient prendre le contrôle du Mac avant d’y installer un logiciel de minage de cryptomonnaies.
UNE FAILLE DANS LE PARTAGE D’ÉCRAN DE MACOS
Voilà une mise à jour qu’il vaut mieux ne pas repousser trop longtemps. Le 6 août dernier, Apple publiait macOS Tahoe 26.6.1, quelques jours seulement après macOS 26.6. Une sortie assez inhabituelle qui s’explique notamment par la présence d’un important correctif de sécurité. La vulnérabilité concernait la fonction de partage d’écran de macOS. Dans certaines circonstances, un attaquant pouvait parvenir à s’authentifier sans disposer d’identifiants valides.
Le problème est particulièrement sérieux puisque le partage d’écran ne permet pas simplement d’observer ce qui se passe sur le Mac. Une fois connecté, un utilisateur distant peut également contrôler le clavier et la souris, et donc interagir directement avec la machine. Apple indiquait avoir corrigé ce défaut d’authentification en améliorant la gestion des différents états du système.
DES ATTAQUES DÉJÀ OBSERVÉES
Cette vulnérabilité n’est malheureusement pas restée théorique. Comme le rapporte Ars Technica, le National Cyber Security Center néerlandais (NCSC-NL) affirme avoir été informé de plusieurs exploitations réelles. Un point commun reliait les machines compromises : le port 5900 était directement accessible depuis Internet. Celui-ci est justement utilisé pour les connexions de partage d’écran et peut être ouvert par le pare-feu de macOS lorsque cette fonctionnalité est activée. Les pirates auraient alors réussi à obtenir des privilèges root sur les Mac concernés, soit le niveau d’accès le plus élevé au système.
Une fois le contrôle obtenu, les attaquants ne semblent toutefois pas avoir cherché à récupérer immédiatement les documents personnels présents sur les machines. Selon le NCSC-NL, un mineur de Monero avait été installé sur les différents systèmes compromis. Le processeur et les autres ressources du Mac étaient ainsi utilisés à l’insu de leur propriétaire pour générer cette cryptomonnaie.
Une telle infection peut notamment provoquer une utilisation anormalement élevée des ressources, une augmentation de la consommation électrique ou encore une forte activité du processeur. La faille ne concerne par ailleurs pas uniquement Tahoe. Apple a également intégré son correctif dans macOS Sonoma 14.8.9 et macOS Sequoia 15.7.9.
MIEUX VAUT VÉRIFIER SON MAC
Les utilisateurs qui n’ont pas encore installé les dernières mises à jour ont donc tout intérêt à le faire rapidement. Il suffit de se rendre dans Réglages Système > Général > Mise à jour de logiciels pour vérifier la version actuellement installée. Lorsque le partage d’écran est utilisé à distance, il est également préférable d’éviter d’exposer directement le service sur Internet et de passer par une connexion sécurisée, notamment via un VPN.
Qu’en penser ?
L’affaire rappelle surtout qu’une faille de sécurité peut être exploitée bien avant que la majorité des utilisateurs aient installé son correctif. Ici, le risque est d’autant plus important que la vulnérabilité permettait d’aller bien au-delà d’une simple fuite d’informations en donnant potentiellement le contrôle de la machine. La bonne nouvelle est que le correctif est disponible sur plusieurs générations de macOS. Encore faut-il désormais l’installer.
