CISA dodała CVE-2026-65400 do katalogu podatności faktycznie wykorzystywanych w atakach. Błąd w macOS pozwala według wpisu zalogować się do usługi Screen Sharing bez ważnych poświadczeń. Tekst wyjaśnia mechanizm luki, jej znaczenie dla firmy i zalecane działania.
18 sierpnia 2026 roku amerykańska agencja cyberbezpieczeństwa CISA dopisała cztery nowe podatności do katalogu Known Exploited Vulnerabilities, czyli wykazu luk, co do których istnieją dowody aktywnego wykorzystania w atakach. Jedną z nich jest CVE-2026-65400, błąd w systemie Apple macOS, który według wpisu w katalogu pozwala atakującemu z sieci zalogować się do usługi Screen Sharing bez ważnych danych logowania. Z tego tekstu dowiesz się, jak działa ta podatność, dlaczego sam wpis do katalogu CISA jest sygnałem alarmowym i jakich działań agencja oczekuje od organizacji.
Według komunikatu CISA z 18 sierpnia 2026 roku do katalogu trafiły cztery luki. Oprócz CVE-2026-65400 są to CVE-2026-33824 (Microsoft IKE), CVE-2026-55040 (Microsoft SharePoint) oraz CVE-2026-59310 (Broadcom VMware vCenter). Najważniejsze fakty o podatności w macOS zbiera poniższa tabela.
Element | Szczegóły |
|---|---|
Identyfikator | CVE-2026-65400 |
Producent i produkt | Apple, system macOS |
Dotknięta usługa | Screen Sharing, czyli zdalny dostęp do pulpitu |
Typ podatności | nieprawidłowe uwierzytelnianie, wpis nosi nazwę Apple macOS Improper Authentication Vulnerability |
Data dodania do katalogu KEV | 18 sierpnia 2026, według komunikatu CISA |
Podstawa wpisu | dowody aktywnego wykorzystania luki, według CISA |
Materiały źródłowe | biuletyny bezpieczeństwa Apple: support.apple.com/en-us/148170, support.apple.com/en-us/148171, support.apple.com/en-us/148172 |
Zalecane działanie | łagodzenia producenta zgodne z wytycznymi dyrektywy BOD 26-04 |
Dwa terminy warto wyjaśnić od razu. Uwierzytelnianie to sprawdzenie tożsamości, zwykle loginem i hasłem. Katalog KEV to prowadzony przez CISA rejestr podatności, które są lub były wykorzystywane w rzeczywistych atakach.
Screen Sharing to usługa zdalnego pulpitu w macOS. Osoba, która się do niej zaloguje, widzi ekran komputera i może na nim pracować tak, jakby siedziała przed nim. Dostęp powinna chronić kontrola poświadczeń: usługa ma przepuszczać wyłącznie osoby z ważnym kontem i hasłem.
Według wpisu w katalogu KEV podatność zrywa właśnie tę kontrolę. Atakujący, który ma dostęp do sieci, w której działa Mac, może uwierzytelnić się do Screen Sharing bez ważnych danych logowania. Wyobraź sobie portiera, który ma sprawdzać identyfikatory, a przepuszcza każdego, kto pewnie poda się za pracownika. Formalnie kontrola istnieje, w praktyce nikogo nie zatrzymuje.
Sytuacja | Prawidłowe działanie | Po wykorzystaniu luki |
|---|---|---|
Logowanie do zdalnego pulpitu | wymagane ważne konto i hasło | wejście bez ważnych poświadczeń |
Kto widzi ekran Maca | wyłącznie upoważniona osoba | osoba obca z dostępem do sieci |
Decyzja o dopuszczeniu | po stronie właściciela komputera | poza skuteczną kontrolą właściciela |
Nazwa wpisu, Improper Authentication, mówi dokładnie tyle: mechanizm logowania istnieje, ale nie spełnia swojej funkcji. To wada kontroli dostępu, a nie słabość konkretnego hasła.
CISA opisuje katalog KEV jako autorytatywne źródło informacji o lukach faktycznie wykorzystywanych w atakach i jako element ram, które pomagają organizacjom ustalać kolejność łatania. Wpis do katalogu nie oznacza więc, że luka jest teoretycznie groźna. Oznacza, że według agencji ktoś już z niej korzysta.
Katalog działa w powiązaniu z przepisami amerykańskimi. Według CISA i komunikatu programu FedRAMP 10 czerwca 2026 roku wydano dyrektywę BOD 26-04. Dokument uchyla wcześniejsze dyrektywy BOD 19-02 z 2019 roku i BOD 22-01 z 2021 roku oraz porządkuje priorytety usuwania podatności w agencjach federalnych władzy wykonawczej, z wyłączeniem systemów bezpieczeństwa narodowego. O pilności łatania decydują według dyrektywy cztery czynniki: publiczna ekspozycja zasobu, obecność luki w katalogu KEV, możliwość zautomatyzowania ataku i wpływ techniczny.
Z przewodnika wdrożeniowego CISA wynikają jeszcze dwie rzeczy. Po uchyleniu BOD 19-02 agencje nie mają już obowiązku opierania priorytetyzacji na ocenie CVSS. A wpisy z katalogu agencja usuwa tylko wyjątkowo, na przykład gdy poprawka producenta szkodzi bardziej niż sama podatność. Innymi słowy, raz wpisana luka z reguły zostaje na liście.
Prywatna firma w Polsce dyrektywie nie podlega. Wpływ jest pośredni, ale realny. Program FedRAMP, który certyfikuje usługi chmurowe dla administracji USA, wymaga według swojego komunikatu wdrożenia nowych zasad wykrywania podatności i reagowania na nie do 7 grudnia 2026 roku. Dla każdej innej organizacji katalog pozostaje wskaźnikiem: luka z KEV to luka, której wykorzystanie nie jest hipotezą.
Mogę Ci jakoś pomóc?
Scenariusz wynikający wprost z opisu wpisu jest prosty. Jeżeli w firmowej sieci pracuje Mac z włączoną usługą Screen Sharing, osoba obecna w tej sieci może według opisu katalogu zalogować się do zdalnego pulpitu bez ważnego hasła. Dostęp do czyjegoś pulpitu oznacza w praktyce dostęp do tego, na czym właściciel pracuje: otwartych dokumentów i firmowych systemów z aktywną sesją.
Jak duże jest ryzyko, zależy od roli zaatakowanego komputera. Księgowość pracująca na systemie finansowym i projektant trzymający pliki lokalnie niosą różne skutki, choć mechanizm ataku pozostaje ten sam. Ocenę sytuacji porządkują trzy pytania.
Pytanie kontrolne | Odpowiedź tak | Odpowiedź nie |
|---|---|---|
Czy w firmie pracują komputery Mac? | przejdź do kolejnego pytania | ten wpis nie dotyczy twojego środowiska |
Czy ktoś używa Screen Sharing? | potraktuj sprawę jako pilną | sprawdź, czy usługa nie jest włączona mimo to |
Czy Maki są dostępne z sieci, do której wchodzą osoby trzecie lub wiele urządzeń? | działaj niezwłocznie | utrzymaj bieżący rytm aktualizacji |
Zalecenie wpisane do katalogu KEV brzmi według CISA następująco: zastosować łagodzenia zgodnie z instrukcjami producenta, z zachowaniem zgodności z wytycznymi BOD 26-04 oraz z wymaganiami dotyczącymi triażu śledczego. Dla usług chmurowych, do których łagodzenia nie są dostępne, katalog zaleca zaprzestanie ich używania. Wpis odsyła do trzech biuletynów Apple podanych w tabeli powyżej.
Wymóg triażu śledczego, do którego odsyła wpis, oznacza sprawdzenie, czy przed zamknięciem furtki nikt jeszcze z niej nie skorzystał. Poprawka zamyka drogę ataku, ale sama z siebie nie odpowiada na pytanie, co działo się wcześniej.
Kolejność | Działanie | Podstawa |
|---|---|---|
1 | Ustal, które Maki w firmie mają włączoną usługę Screen Sharing | inwentaryzacja środowiska |
2 | Zastosuj łagodzenia opisane przez Apple w trzech biuletynach | zalecenie wpisu w katalogu KEV |
3 | Przeprowadź triaż śledczy systemów, które mogły być narażone | wymóg, do którego odsyła wpis KEV |
4 | Jeżeli usługa chmurowa nie ma łagodzeń, zaprzestań jej używania | zalecenie wpisu w katalogu KEV |
Rozmowę z zespołem IT ułatwi lista pytań kontrolnych.
Pytanie | Oczekiwana odpowiedź |
|---|---|
Ile komputerów Mac pracuje w firmie? | pełna i aktualna lista |
Na których działa Screen Sharing i po co? | lista z uzasadnieniem |
Czy wdrożono łagodzenia z biuletynów Apple? | data wdrożenia |
Czy narażone systemy sprawdzono pod kątem wcześniejszego naruszenia? | wynik triażu śledczego |
Kto i jak często przegląda katalog KEV? | wskazana osoba i termin |
CVE-2026-65400 trafiła do katalogu razem z trzema innymi podatnościami, w ramach aktualizacji, którą CISA uzasadnia dowodami wykorzystania. Z przewodnika wdrożeniowego BOD 26-04 wynika, że usunięcie wpisu zdarza się wyjątkowo, więc obecność luki na liście należy traktować jako trwały fakt, a nie chwilowy alarm. Dla organizacji używającej Maków konsekwencja jest jedna: zastosować łagodzenia opisane przez Apple i sprawdzić, co działo się z narażonymi systemami wcześniej. Wpis do katalogu KEV zamienia zadanie "zaktualizować przy okazji" w zadanie "zaktualizować teraz".
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Po przeczytaniu tego wpisu dowiesz się, dlaczego serwery firmowe wystawiają porty, o których nikt nie pamięta, co znaczy „podatność nieokreślona” w komunikacie producenta i dlaczego wyciek danych bywa groźniejszy niż zniszczenie systemu - oraz dlaczego reakcja przyszła półtora roku po ataku.
Czytaj artykułAmerykańska agencja CISA wpisała lukę CVE-2026-48282 w Adobe ColdFusion do katalogu podatności wykorzystywanych w atakach. Według katalogu termin reakcji wynosił trzy dni, a producent ocenił zagrożenie na dziesięć na dziesięć. Tekst wyjaśnia mechanizm ataku i plan reakcji dla firmy.
Czytaj artykułCISA wpisała podatność CVE-2026-60137 do katalogu luk wykorzystywanych w atakach. Błąd w rdzeniu WordPressa umożliwia wstrzyknięcie SQL, a według opisu agencji w połączeniu z drugą luką pozwala przejąć serwis bez logowania. Poniżej fakty, zagrożone wersje i lista działań.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.