Lỗ hổng Screen Sharing trên Mac bị khai thác: ba bản vá cần cài

CVE-2026-65400 là lỗ hổng xác thực trong Screen Sharing, tính năng chia sẻ màn hình từ xa của macOS. Lỗ hổng đã bị khai thác ngoài thực tế. Cơ sở dữ liệu lỗ hổng quốc gia của Mỹ (NVD) cho biết kẻ tấn công trên mạng có khả năng đăng nhập Screen Sharing mà không cần thông tin xác thực hợp lệ. Cơ quan An ninh mạng và An ninh Cơ sở hạ tầng Mỹ (CISA) đưa lỗ hổng vào danh mục lỗ hổng đã biết bị khai thác (KEV) ngày 18/8/2026. Người dùng ba nhánh Sonoma, Sequoia và Tahoe cần đối chiếu phiên bản đã cài với bản vá của Apple.

Apple phát hành các bản sửa lỗi ngày 6/8/2026. Trung tâm An ninh mạng Quốc gia Hà Lan ghi nhận nhiều hệ thống có cổng 5900 mở ra Internet đã bị khai thác. Kẻ tấn công giành quyền root, cấp kiểm soát cao nhất trên hệ thống, rồi cài chương trình đào tiền mã hóa Monero. Thông báo không nêu tổng số thiết bị hay quốc gia đặt thiết bị, nên chưa thể suy rộng thành tỷ lệ cho mọi máy Mac.

Ba nhánh macOS đã có bản sửa lỗi

Apple công bố bản vá riêng cho ba nhánh macOS vào cùng ngày. Sonoma cần đạt phiên bản 14.8.9, còn Sequoia cần đạt phiên bản 15.7.9. Tahoe cần đạt phiên bản 26.6.1. Cả ba thông báo đều cho biết Apple đã cải thiện cơ chế quản lý trạng thái xác thực của Screen Sharing.

Nhánh macOS	Phiên bản có bản sửa lỗi
macOS Sonoma	14.8.9
macOS Sequoia	15.7.9
macOS Tahoe	26.6.1

Máy đang dùng phiên bản thấp hơn trong một trong ba nhánh trên vẫn nằm dưới mốc sửa lỗi. Apple Support tại Đài Loan hướng dẫn mở menu Apple, chọn Cài đặt hệ thống, Cài đặt chung rồi Cập nhật phần mềm. Trang này chỉ hiển thị bản cập nhật hoặc bản nâng cấp tương thích với từng mẫu Mac. Phiên bản cao hơn trong cùng nhánh đã vượt mốc trong bảng; nâng cấp sang nhánh macOS khác vẫn cần kiểm tra tương thích. Các nhánh cũ hơn Sonoma cũng cần được kiểm tra riêng về khả năng hỗ trợ.

Ba tín hiệu khiến bản vá được ưu tiên

Hồ sơ NVD hiển thị điểm 9,8 theo Hệ thống chấm điểm lỗ hổng chung (CVSS) 3.1 từ bản ghi bổ sung của CISA; NVD chưa đưa ra điểm đánh giá riêng. Các tiêu chí đi kèm xếp lỗ hổng vào nhóm truy cập qua mạng, độ phức tạp thấp, không cần quyền sẵn có và không cần tương tác của người dùng. Tác động tiềm tàng đối với tính bí mật, toàn vẹn và khả dụng đều ở mức cao. Điểm CVSS mô tả mức nghiêm trọng kỹ thuật, không phải xác suất một máy Mac cụ thể sẽ bị xâm nhập.

CISA cho biết BOD 26-04 yêu cầu cơ quan liên bang Mỹ ưu tiên sửa lỗ hổng theo trạng thái KEV, mức phơi nhiễm của tài sản và hậu quả kỹ thuật. Chỉ thị này áp dụng cho cơ quan liên bang Mỹ. Mốc xử lý của KEV không phải thời hạn pháp lý dành cho người dùng cá nhân tại Đài Loan hoặc Việt Nam. Tuy vậy, trạng thái KEV cùng các vụ khai thác do NCSC Hà Lan ghi nhận là cơ sở để xếp bản cập nhật này trước các bản sửa thông thường.

Quy trình kiểm tra và cập nhật

Phiên bản macOS hiện tại và bản cập nhật tương thích đều xuất hiện trong mục Cập nhật phần mềm. Apple cho biết máy có thể khởi động lại nhiều lần trong quá trình cài đặt. Máy tính xách tay cần được nối nguồn, còn công việc đang mở cần được lưu trước khi bắt đầu.

1. Từ menu Apple, đường dẫn là Cài đặt hệ thống, Cài đặt chung và Cập nhật phần mềm.
2. Phiên bản hiện tại cần được ghi lại rồi đối chiếu với Sonoma 14.8.9, Sequoia 15.7.9 hoặc Tahoe 26.6.1.
3. Khi bản cập nhật tương thích xuất hiện, cần dành đủ thời gian để tải, cài đặt và khởi động lại máy.
4. Sau khi khởi động lại, trang Cập nhật phần mềm cần hiển thị phiên bản bằng hoặc cao hơn mốc tương ứng. Với máy do tổ chức quản lý, phiên bản và thời điểm cập nhật cần được báo cho bộ phận công nghệ thông tin.

Tắt Screen Sharing chỉ là biện pháp tạm thời

Apple cho biết máy tính khác trên mạng không thể kết nối tới Mac qua Screen Sharing khi tính năng này đã tắt. Đường dẫn là Cài đặt hệ thống, Cài đặt chung, Chia sẻ và Screen Sharing. Với máy không dùng chức năng này, trạng thái tắt thu hẹp một đường truy cập từ xa trong thời gian chờ cập nhật. Biện pháp trên không sửa mã dễ bị tấn công, nên bản cập nhật hệ thống vẫn cần được cài.

Hướng dẫn của Apple cũng nêu Screen Sharing và Remote Management, chức năng quản trị từ xa, không hoạt động đồng thời. Việc từng dùng Remote Management vì thế chưa chứng minh Screen Sharing đang bật ở thời điểm kiểm tra. Với thiết bị do doanh nghiệp hoặc trường học quản lý, bộ phận công nghệ thông tin cần xác nhận trước khi thay đổi dịch vụ từ xa.

Bản vá không xóa dấu vết của lần xâm nhập trước

Bản cập nhật chặn lỗ hổng đã biết nhưng không xác định máy có bị truy cập trước lúc cài hay không. Các trường hợp do NCSC Hà Lan ghi nhận đã bị chiếm quyền root và cài chương trình đào Monero. CISA cũng yêu cầu cơ quan liên bang kiểm tra khả năng bị xâm nhập trước khi vá trong một số tình huống. Với Mac do tổ chức quản lý, tài khoản lạ, tệp thay đổi hoặc mức tải hệ thống tăng bất thường cần được báo cho bộ phận công nghệ thông tin và giữ lại dữ liệu phục vụ kiểm tra.

Nếu máy đang có hoạt động bất thường, ngắt kết nối mạng giúp hạn chế thêm liên lạc ra ngoài trong lúc chờ xử lý. Tệp, nhật ký và tài khoản liên quan không nên bị xóa trước khi người phụ trách kiểm tra. Người dùng cá nhân cần liên hệ Apple Support hoặc đơn vị hỗ trợ an ninh có chuyên môn nếu chưa xác định được nguyên nhân.

Câu hỏi thường gặp

Mac nào nằm trong phạm vi phiên bản đã công bố?
Hồ sơ NVD liệt kê macOS từ 14.0 đến trước 14.8.9, từ 15.0 đến trước 15.7.9 và từ 26.0 đến trước 26.6.1. Phiên bản bằng hoặc cao hơn mốc tương ứng đã chứa bản sửa được công bố. Máy dùng nhánh cũ hơn cần kiểm tra riêng vì ba thông báo của Apple không mô tả phạm vi đó.

Screen Sharing đang tắt thì còn cần cập nhật không?
Trạng thái tắt làm giảm đường tiếp cận dịch vụ qua mạng. Mã dễ bị tấn công vẫn thuộc phiên bản macOS chưa vá. Máy có bản cập nhật tương thích vì vậy vẫn cần cài phiên bản sửa lỗi hoặc bản mới hơn.

Không thấy dấu hiệu lạ có đủ để kết luận máy an toàn không?
Cuộc tấn công không cần thao tác từ người dùng theo dữ liệu chấm điểm do CISA cung cấp. Sự vắng mặt của dấu hiệu dễ nhận biết chưa đủ để loại trừ lần truy cập trước khi vá. Người dùng cá nhân cần tìm hỗ trợ kỹ thuật, còn máy của tổ chức cần theo quy trình ứng phó sự cố nội bộ khi có biểu hiện bất thường.