Mac画面共有の認証脆弱性、悪用を確認　3系統の更新と停止手順

CVE-2026-65400は、macOSの「画面共有」で認証状態を扱う処理の脆弱性だ。JVN iPediaは、ネットワーク上の攻撃者が有効な資格情報なしで画面共有の認証に成功する恐れがあり、macOS Sonoma 14.8.9、Sequoia 15.7.9、Tahoe 26.6.1で修正されたと説明している。対象の系統を使うMacでは、画面共有を日常的に使うかどうかにかかわらず、修正版への更新を優先する。

米国の脆弱性データベースNVDは、CISAが2026年8月18日にCVE-2026-65400を既知悪用脆弱性カタログ（Known Exploited Vulnerabilities Catalog、KEV）へ追加したと記録している。同じ項目に掲載された共通脆弱性評価システム（Common Vulnerability Scoring System、CVSS）3.1の9.8は、NVD自身の採点ではなくCISA-ADPが付けた値だ。

オランダ国家サイバーセキュリティセンター（NCSC）は8月12日の更新で、5900番ポートがインターネットから到達可能な複数のシステムで悪用を確認し、攻撃者がroot権限を得てMonero採掘ソフトを設置したと公表した。公開情報が示す実害はこの採掘ソフトの設置であり、ランサムウェア被害まで確認した資料ではない。

修正版は3系統、8月6日公開

Appleは2026年8月6日、Sonoma、Sequoia、Tahoeの各系統に修正版を出した。三つのセキュリティ情報はいずれも、認証状態の管理を改善してCVE-2026-65400へ対処したとしている。

macOSの系統	修正版	Appleの公表内容
macOS Sonoma	14.8.9	AppleはSonoma 14.8.9を8月6日に公開し、画面共有の認証状態管理を改善した
macOS Sequoia	15.7.9	AppleはSequoia 15.7.9を8月6日に公開し、画面共有の認証状態管理を改善した
macOS Tahoe	26.6.1	AppleはTahoe 26.6.1を8月6日に公開し、画面共有の認証状態管理を改善した

Sonoma 14.8.9未満、Sequoia 15.7.9未満、Tahoe 26.6.1未満は、JVN iPediaが示す影響範囲に入る。それより古いmacOSは、この三つの公告だけから対応可否を判断できない。「ソフトウェアアップデート」に表示される互換性のある版を確認し、業務用Macで更新が出ない場合は管理部門へ問い合わせる。

7.1と9.8──CVSSの出所を分けて読む

8月10日が最終更新のJVN iPediaはCVSS 3の基本値を7.1とし、攻撃に必要な権限を「低」、機密性への影響を「高」、完全性への影響を「低」、可用性への影響を「なし」と評価している。一方、NVD上のCISA-ADP評価は、権限不要で機密性、完全性、可用性への影響がすべて高いというベクトルに基づく9.8だ。数値の違いは、同じCVEでも評価主体と前提が一致していないために生じている。

更新の優先度は高い方の数値だけから決めるものではない。この件では、Appleの修正版が既にあり、NCSCが実際の悪用を確認し、CISAがKEVへ追加したという三つの事実がそろう。インターネットから画面共有へ到達できるMacは特に急ぐべきだが、外部公開していない端末でもOS側の修正を適用する。

最初にOSを更新、完了後に版番号を再確認

Appleの日本語サポートは、アップルメニューから「システム設定」へ進み、サイドバーの「一般」から「ソフトウェアアップデート」を開く手順を案内している。更新前には、設定をオンにした記憶ではなく、直近のバックアップが正常に終わった時刻を確かめる。

1. アップルメニューから「システム設定」を開き、「一般」から「ソフトウェアアップデート」へ進む。
2. 現在のmacOS名と版番号を記録し、表の修正版より古ければ、表示された更新を選ぶ。より新しい互換版が表示された場合は、その版を適用する。
3. インストール中はMacをスリープさせず、MacBookの蓋を閉じない。再起動を挟む時間も確保する。
4. 再起動後に同じ画面を開き、版番号がSonoma 14.8.9、Sequoia 15.7.9、Tahoe 26.6.1、またはそれより新しい版になったことを確認する。

「ソフトウェアアップデート」には、そのMacと互換性があるソフトウェアだけが表示される。会社や学校が管理する端末で更新ボタンが出ない、管理者権限を求められる、業務アプリの制約がある場合は、現在の版番号と確認時刻を管理部門へ伝える。

更新できない間は画面共有を止める

AppleのMacユーザガイドは、「システム設定」から「一般」「共有」へ進んで「画面共有」をオフにすると、ネットワーク上のほかのコンピュータからそのMacへ接続できなくなると説明している。画面共有を使っていないMacでは、更新までの一時措置として状態を確認し、オンなら止める。

1. アップルメニューから「システム設定」を開き、「一般」「共有」の順に進む。
2. 「画面共有」がオンならオフにする。遠隔支援で使っている場合は、停止する時間と代替の連絡手段を先に決める。
3. 業務用Macで「リモートマネージメント」がオンの場合は、管理部門に設定意図を確認する。Appleは「画面共有」と「リモートマネージメント」を同時にオンにできないとしている。

画面共有を止めても、認証状態を扱うプログラムが修正版へ置き換わるわけではない。Appleが公表した恒久的な対処は、ステート管理を改善したmacOS更新だ。機能の停止後も更新を続け、完了後に必要な利用者だけへ画面共有を許可する。

侵害が疑われるMacは更新だけで終わらせない

NCSCが公表した事例では、攻撃者はroot権限を得て採掘ソフトを設置していた。Appleの更新情報は脆弱性の修正を説明しているが、更新前に設置されたソフトや作成されたアカウントを除去するとは記していない。更新前から不審なログイン、未知の管理者アカウント、覚えのない設定変更が残っている場合は、版番号の更新だけで安全と判断しない。

情報処理推進機構（IPA）は組織の初動例として、担当部署への報告、被害を抑えるためのネットワーク遮断、証拠保全、専門部署や委託先と連携した復旧を示している。業務用Macは組織の手順に従ってIT・セキュリティ担当へ連絡し、ネットワーク遮断と証拠保全の判断を担当部署へ委ねる。個人所有のMacでは、初期化など記録を消す操作より先に、Appleのサポートまたはセキュリティの専門窓口へ状況を伝える。

日本の公開情報に残る時間差

JVN iPediaの国内向け項目は8月10日が最終更新で、CVSS 7.1と修正版を掲載している。その後、NCSCは8月12日に悪用確認を追記し、CISAは8月18日にKEVへ追加した。JVNの項目には、本稿の執筆時点でこの二つの更新が反映されていない。

日本国内でCVE-2026-65400が悪用された件数を示す公的資料は、本稿の執筆時点で確認できていない。これは国内被害がないという意味ではない。国内の件数が不明でも、Appleの修正版と海外での悪用確認は、対象Macの更新を優先する根拠になる。

よくある質問

自分のMacが影響範囲に入るか
Sonoma 14.0以上14.8.9未満、Sequoia 15.0以上15.7.9未満、Tahoe 26.0以上26.6.1未満はJVN iPediaが示す対象だ。それより古い系統は今回の三つの修正情報だけでは判断できないため、「ソフトウェアアップデート」に表示される互換版を確認する。

画面共有がオフでも更新は必要か
必要だ。オフの間はネットワーク上のほかのコンピュータから画面共有へ接続できないが、OS内の認証処理が修正されたことにはならない。互換性のある修正版を適用する。

CVSSは7.1と9.8のどちらが正しいか
別の評価主体とベクトルによる値が併存している。JVN iPediaは7.1を掲載し、NVDはCISA-ADPの9.8を表示する一方、NVD自身の採点は未提示だ。点数一つではなく、悪用確認、外部からの到達性、修正版の有無を合わせて判断する。

更新済みなら侵入の疑いも消えるか
消えない。更新は認証の脆弱性を修正するが、更新前に作られたアカウントや設置されたソフトの除去を保証しない。不審な記録があれば、業務用Macは管理部門へ報告し、個人所有のMacは初期化前にAppleのサポートまたは専門窓口へ相談する。