macOS漏洞与信息安全（阿拉木图通讯部）

如今，信息安全不仅对管理员而言日益重要，对普通Mac用户来说也是如此。荷兰国家安全与控制中心 (NCSC) 已发出警告，macOS 中的 CVE-2026-65400 漏洞正被积极利用。此外，已有针对开放 5900 端口系统的攻击报告。因此，原本标准的屏幕共享功能突然变成了设备完全被控制的途径。

CVE-2026-65400 漏洞出现后，阿拉木图通信部门的信息安全为何如此重要？

首先，我们要讨论的是 macOS 屏幕共享功能的问题。这项功能允许您远程查看屏幕并控制键盘和鼠标。它通常用于远程技术支持或远程协作。然而，黑客已经学会利用此功能进行恶意攻击。

该漏洞的评分为 7,1 分（满分 10 分），苹果公司已发布补丁修复该漏洞：

据英国国家网络安全中心 (NCSC) 称，攻击者获得了受影响系统的 root 权限。随后，他们安装了门罗币挖矿程序，该程序秘密利用 Mac 的资源挖掘加密货币。虽然这种情况看起来似乎不如数据窃取那么危险，但 root 权限本身仍然非常危险。

苹果公司将此问题描述为状态管理漏洞。简而言之，系统未能正确跟踪进程、事件和交互的状态。这使得无需凭据的攻击者能够访问 Mac。在 Black Hat 大会之后，该漏洞的详细信息被公开，苹果公司也从 Bynario 那里获得了有关此漏洞的信息。

对于企业而言，教训显而易见：如果始终启用远程访问，则应将其视为一个彻头彻尾的后门。此外，应像监控 RDP、VPN 或控制面板一样，密切监控开放的 5900 端口。

端口 5900 通常用于 VNC 和屏幕共享。启用屏幕共享后，macOS 防火墙会打开此端口。在普通网络中，路由器或外部防火墙可能会阻止传入连接。但是，如果管理员转发了该端口，则 Mac 电脑容易受到黑客攻击。

遗憾的是，用户经常忘记是否启用了屏幕共享功能。有时，屏幕共享功能是为了提供一次性帮助而启用的，但之后却忘记将其禁用。还有一些情况下，远程办公时获得了访问权限，但会话结束后，屏幕共享内容仍然可以通过网络公开访问。

对于初涉网络安全领域的专业人士来说，理解便捷性和安全性之间的区别至关重要。从任何地方直接连接到 Mac 都很方便。然而，使用 SSH 隧道（通过额外的安全层路由访问）则更加安全。但是，这些选项需要进行配置，而且对于普通用户来说并不总是那么直观。

因此，在阿拉木图参加信息安全和数据保护方面的远程学习，对于那些想要了解远程访问和全面安全措施的人来说非常有用。重要的是要明白，几乎总会有人试图利用开放的互联网端口来访问系统。

远程计算机控制长期以来被视为一项常规工作功能。管理员协助用户，工程师连接到计算机，员工检索所需文件。此外，随着远程办公的普及，此类工具变得更加常见。但与此同时，攻击面也随之扩大。

许多用户之前认为Mac电脑对攻击者的吸引力较小。然而，如今的攻击不再局限于单一平台。只要设备可以通过网络访问且存在漏洞，就会遭到扫描。从这个意义上讲，macOS、Linux和Windows的运作逻辑是相同的。

目前，除了门罗币挖矿程序外，没有其他明显的安装迹象。但这并不意味着风险很低。root权限允许安装间谍软件、窃取凭证，或对系统进行更深层次的渗透。因此，挖矿程序应该被视为第一个明显的症状，而不是未来可能造成的损害的极限。

本案例尤其适用于培训目的。它将端口管理、更新、远程访问、加密货币挖矿程序和事件响应等问题联系起来。因此，阿拉木图的信息安全和数据保护培训不仅包括攻击理论，还包括用于测试真实工作站的清晰算法。

首先，用户应检查屏幕共享是否已启用。在 macOS 系统中，可通过“系统设置”>“通用”>“共享”进行设置。如果暂时不需要此功能，最好将其禁用。此外，每次远程会话结束后，也建议检查屏幕共享是否仍然处于活动状态。

在进行内部审计之前，有必要建立一个简单的程序：

这个案例有助于学生和专业人士理解实践培训的重要性。虽然阅读 CVE 信息很有帮助，但实际测试端口、禁用服务并评估网络风险要有效得多。因此，阿拉木图各大学的信息安全硕士课程会根据真实场景布置实验作业，作为教学的补充。

最终，CVE-2026-65400 的情况提醒我们一条简单的规则：远程访问应该是临时的、受控的。