Apple Corrige Faille Macos Pour Miner Monero

Imaginez un instant que votre Mac, celui que vous utilisez pour travailler, créer ou simplement naviguer, soit transformé à votre insu en une machine à miner de la cryptomonnaie pour le compte d’inconnus. C’est exactement ce qui s’est produit pour un certain nombre d’utilisateurs de macOS ces dernières semaines. Une faille critique dans le service Screen Sharing a permis à des attaquants d’obtenir un accès root complet et d’installer discrètement des logiciels de minage de Monero. Apple a réagi en publiant un correctif d’urgence, mais le bilan et les leçons à en tirer méritent qu’on s’y attarde longuement.

Une vulnérabilité d’authentification devenue porte d’entrée pour le cryptojacking

Le 6 août 2026, Apple a déployé des mises à jour de sécurité pour macOS Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9. Ces patches corrigent la faille référencée CVE-2026-65400. Il s’agit d’un problème de gestion d’état dans le processus d’authentification Secure Remote Password utilisé par Screen Sharing. En pratique, un attaquant situé sur le réseau pouvait faire croire au service qu’une connexion non authentifiée était en réalité valide. Résultat : accès privilégié sans jamais fournir de mot de passe correct.

Ce qui rend cette faille particulièrement dangereuse, c’est qu’elle se déclenche avant même que les mécanismes classiques d’authentification n’entrent en jeu. Changer le mot de passe de Screen Sharing, désactiver l’ancien protocole VNC ou supprimer des comptes autorisés ne changeait strictement rien. Seule l’installation du correctif Apple ou la désactivation complète du service permettait de se protéger.

Le centre national de cybersécurité néerlandais (NCSC) a confirmé le 12 août que plusieurs systèmes exposés sur Internet via le port 5900 avaient été compromis. Dans chaque cas documenté, les attaquants avaient obtenu les droits root et installé un mineur de Monero. Aucune information n’a été communiquée sur le nombre exact de machines touchées ni sur l’identité des groupes responsables.

Comment Huntress a mis en lumière l’ampleur du risque

La société de sécurité Huntress a joué un rôle central dans l’analyse technique de la vulnérabilité. Son chercheur Ryan Dowd a expliqué que la faille permettait de contourner complètement le processus d’authentification. Une simple recherche sur la plateforme Censys a révélé des dizaines de milliers d’hôtes potentiellement vulnérables. Il ne s’agit pas de machines déjà compromises, mais de Mac dont le service Screen Sharing était accessible depuis Internet.

Le risque est particulièrement élevé pour les Mac hébergés en bare-metal, ces mini-ordinateurs loués à distance pour des charges de travail spécifiques. Certains fournisseurs de services cloud exposent systématiquement le port Screen Sharing dès le provisionnement de la machine. Lorsque ces systèmes n’ont pas encore reçu les correctifs du 6 août, ils constituent une cible idéale.

Pourquoi Monero et pas une autre cryptomonnaie

Le choix de Monero n’est pas anodin. Cette cryptomonnaie a été conçue pour être minable avec du matériel généraliste, sans nécessité de cartes graphiques spécialisées. Un Mac moderne, même un Mac Mini, dispose de suffisamment de puissance de calcul pour générer un revenu non négligeable lorsqu’il tourne 24 heures sur 24. De plus, Monero offre un niveau de confidentialité élevé qui complique le suivi des fonds une fois le minage effectué.

Dans les cas signalés par le NCSC, il n’est pas question de vol de portefeuilles ou de détournement de clés privées. Les attaquants se sont contentés d’utiliser la puissance de calcul des machines compromises. C’est ce que l’on appelle du cryptojacking, une forme d’attaque de plus en plus répandue car elle laisse souvent peu de traces visibles pour l’utilisateur.

Monero cotait autour de 414 dollars au moment des faits, avec une progression d’environ 5 % sur sept jours. Ces chiffres montrent que même une campagne de minage clandestine de taille moyenne peut générer des revenus intéressants pour les opérateurs.

Les leçons pour les administrateurs et les particuliers

La première leçon est évidente : les services de partage d’écran ne devraient jamais être exposés directement sur Internet. Même avec un mot de passe robuste, une faille zero-day peut tout remettre en question. La meilleure pratique consiste à placer ces services derrière un VPN ou à utiliser des solutions de tunnel sécurisé.

Deuxième point crucial : les mises à jour de sécurité doivent être appliquées rapidement, surtout sur les machines destinées à des usages professionnels ou hébergées à distance. Les délais entre la découverte d’une vulnérabilité et son exploitation active se comptent désormais en jours, parfois en heures.

Troisième enseignement : le simple fait de désactiver Screen Sharing n’est pas toujours suffisant. Huntress recommande d’installer les correctifs même si l’administrateur pense que le service n’est pas actif. Des configurations résiduelles ou des redémarrages peuvent réactiver le service à l’insu de l’utilisateur.

Changer le mot de passe de Screen Sharing ne résout rien. La faille intervient avant même l’étape d’authentification. Seule la mise à jour d’Apple ou la désactivation complète du service protège réellement.

Analyse technique Huntress

Un contexte plus large de menaces visant les appareils Apple

Cette affaire s’inscrit dans une série d’incidents où les Mac sont devenus des cibles privilégiées. On se souvient des campagnes menées par des groupes nord-coréens qui utilisaient de fausses réunions et des mises à jour malveillantes pour viser des entreprises du secteur crypto. Les Mac, longtemps considérés comme plus sûrs, sont aujourd’hui dans le viseur parce que leur puissance de calcul et leur présence croissante dans les environnements professionnels en font des ressources intéressantes.

Le cryptojacking n’est d’ailleurs pas limité à macOS. Des investigations antérieures, notamment celles menées par Darktrace, ont montré des déploiements silencieux de mineurs sur des systèmes Windows après une compromission initiale. La différence réside dans le mode d’entrée : ici, la faille d’authentification a permis une compromission à distance sans interaction de l’utilisateur.

Ce que les autorités et les chercheurs n’ont pas encore dit

Plusieurs zones d’ombre demeurent. Le NCSC n’a communiqué ni le volume exact de machines compromises, ni les adresses des pools de minage, ni les portefeuilles utilisés pour recevoir les récompenses. Aucune attribution n’a été proposée. On ignore également si d’autres charges utiles que le mineur Monero ont été déployées sur certaines machines.

La CISA a relevé le score de criticité de la faille le 14 août, passant d’une évaluation initiale plus modérée à 9,8. Ce changement de notation reflète probablement la confirmation d’exploitations actives et l’absence totale de prérequis pour l’attaque.

Des révélations supplémentaires de la part d’équipes de réponse à incident pourraient encore éclairer l’ampleur réelle de la campagne avant le déploiement du correctif Apple.

Les gestes concrets à effectuer dès maintenant

Si vous administrez des Mac, la priorité absolue consiste à vérifier que toutes les machines tournent au moins sur les versions patchées du 6 août. Pour les systèmes qui ne peuvent pas être mis à jour immédiatement, la désactivation temporaire de Screen Sharing reste la seule protection efficace.

Il est également recommandé de scanner les machines à la recherche de processus de minage inhabituels. Une utilisation CPU élevée et constante, surtout la nuit ou en dehors des heures de travail, constitue un signal d’alerte. Des outils de monitoring simples permettent de détecter ces anomalies rapidement.

Enfin, pour les environnements hébergés, il convient de revoir les configurations par défaut des fournisseurs. L’exposition automatique du port 5900 sur des machines fraîchement provisionnées est une pratique qui devrait disparaître.

Une illustration des risques du minage clandestin

Le cryptojacking reste l’une des formes d’attaque les plus sous-estimées. Contrairement aux ransomwares qui bloquent les systèmes et réclament une rançon visible, le minage clandestin se contente de consommer des ressources. L’utilisateur remarque parfois une machine plus lente, une batterie qui se vide plus vite ou une facture d’électricité en hausse, mais l’origine du problème n’est pas toujours évidente.

Dans le cas des Mac professionnels ou des machines louées, le coût réel se mesure aussi en perte de performance pour les tâches légitimes. Un serveur de compilation ou une station de montage vidéo transformée en mineur Monero perd une grande partie de son efficacité.

Monero continue d’attirer les opérateurs de ces campagnes précisément parce qu’il reste minable de façon rentable sur du matériel non spécialisé. Tant que cette caractéristique subsistera, les attaquants auront intérêt à rechercher des failles permettant d’accéder à des parcs de machines puissantes.

Perspectives et vigilance continue

Apple a réagi rapidement une fois la faille identifiée et exploitée. Le délai entre la confirmation d’exploitation active et la publication des correctifs reste acceptable dans l’absolu, mais trop long pour les machines déjà exposées. Les administrateurs qui ont laissé Screen Sharing ouvert sur Internet ont payé le prix de cette fenêtre de vulnérabilité.

À l’avenir, on peut s’attendre à ce que les chercheurs en sécurité et les autorités intensifient la surveillance des services de partage d’écran et de bureau à distance. Ces protocoles, conçus pour faciliter le travail collaboratif, deviennent des vecteurs d’attaque privilégiés lorsqu’ils sont mal configurés.

Pour les utilisateurs de Mac, le message est clair : les mises à jour de sécurité ne sont pas optionnelles. Elles constituent la première et souvent la seule ligne de défense contre des failles qui, comme celle-ci, permettent une prise de contrôle totale à distance. Dans un contexte où le minage de Monero reste attractif pour les cybercriminels, la moindre faille d’authentification devient une opportunité lucrative.

La campagne révélée par le NCSC néerlandais et analysée par Huntress rappelle que la sécurité des systèmes Apple n’est jamais acquise. Elle dépend d’une vigilance constante, de configurations restrictives et d’une application rapide des correctifs. Les dizaines de milliers de machines potentiellement exposées montrent l’ampleur du risque. Heureusement, le correctif existe. Il ne reste plus qu’à l’installer.

Les prochaines semaines diront si d’autres campagnes similaires émergent ou si le patch d’Apple a définitivement fermé cette porte d’entrée. En attendant, chaque administrateur de Mac a intérêt à vérifier l’état de ses systèmes. Le cryptojacking silencieux reste l’une des menaces les plus discrètes et les plus rentables pour ceux qui savent l’exploiter. Cette affaire en offre une illustration concrète et récente.

En définitive, l’épisode de la faille CVE-2026-65400 illustre parfaitement la convergence entre vulnérabilités logicielles classiques et économie souterraine des cryptomonnaies. Tant que des ressources de calcul gratuites pourront être détournées pour miner du Monero, les attaquants continueront de chercher des brèches. Apple a refermé celle-ci. Il appartient désormais aux utilisateurs de s’assurer que leurs machines ne restent pas des cibles ouvertes.

La vigilance ne s’arrête jamais. Les services de partage d’écran, les ports exposés et les retards de mise à jour constituent autant de faiblesses que les opérateurs de mineurs clandestins savent identifier et exploiter. Cette fois, c’est Monero qui a été miné. Demain, ce pourrait être une autre cryptomonnaie ou une charge utile plus destructrice. La leçon reste la même : un Mac non patché et exposé est une ressource gratuite pour quelqu’un d’autre.

Les équipes de sécurité et les administrateurs systèmes ont désormais tous les éléments en main pour protéger leurs parcs. Les correctifs sont disponibles, les recommandations sont claires et les signaux d’alerte sont connus. Il ne reste plus qu’à passer à l’action avant que la prochaine campagne ne trouve de nouvelles cibles.

Cette actualité, révélée en pleine période estivale, rappelle que les menaces numériques ne prennent pas de vacances. Les machines laissées sans surveillance, les services activés par défaut et les retards de mise à jour offrent des opportunités permanentes. Dans le cas présent, le minage de Monero a servi de monétisation. Mais la prise de contrôle root obtenue grâce à la faille aurait tout aussi bien pu servir à d’autres fins, potentiellement plus graves.

Les utilisateurs de Mac, qu’ils soient particuliers ou professionnels, doivent intégrer cette réalité. La réputation de solidité d’Apple ne dispense pas d’appliquer les correctifs ni de revoir les configurations réseau. Screen Sharing est un outil pratique, mais seulement lorsqu’il est correctement sécurisé. Dans le cas contraire, il devient une porte grande ouverte sur le système.

Le score critique de 9,8 attribué par la CISA souligne l’urgence. Une faille qui ne nécessite ni privilèges ni interaction utilisateur et qui conduit systématiquement à un accès root est parmi les plus dangereuses qui soient. Apple a réagi. Les utilisateurs doivent maintenant faire de même.

En résumé, cette affaire de cryptojacking via une faille macOS montre une fois de plus que la sécurité informatique est un processus continu. Les correctifs existent. Les bonnes pratiques sont documentées. Il ne reste plus qu’à les appliquer avec rigueur pour que les Mac cessent d’être des mines clandestines de Monero au profit d’attaquants anonymes.