Si tienes un Mac y no lo has actualizado en los últimos diez días, este artículo te interesa. Una vulnerabilidad crítica en la función Compartir Pantalla de macOS, identificada como CVE-2026-65400, está siendo explotada activamente para instalar mineros de criptomonedas sin que el usuario se dé cuenta. Y lo peor: el atacante ni siquiera necesita tu contraseña.

El fallo: autenticación que no autentica

La vulnerabilidad reside en un defecto de gestión de estado durante el proceso de autenticación de Compartir Pantalla. En lugar de verificar correctamente las credenciales, el sistema permite que un atacante que esté en la misma red (o que haya alcanzado el puerto 5900 desde internet) se conecte sin autorización legítima.

Apple solucionó el problema el 6 de agosto mediante una actualización de seguridad que, según la compañía, se basa en «una mejora en la gestión de estado». Esto indica que el fallo no era un error criptográfico, sino una validación defectuosa del flujo de autenticación o del estado de la sesión.

Las versiones afectadas y ya parcheadas son macOS Tahoe 26.6.1, Sequoia 15.7.9 y Sonoma 14.8.9. Si tu Mac ejecuta alguna de estas versiones y no has instalado la última actualización, tu equipo sigue expuesto.

¿Quién está en riesgo?

El mayor peligro lo corren los Mac que tienen Compartir Pantalla activado y cuyo puerto 5900 es accesible desde internet. Esto suele ocurrir cuando se ha reenviado el puerto en el router, se ha asignado una IP pública directamente al Mac o se usa un proveedor de hosting. Los equipos solo accesibles desde la red local también son vulnerables, pero el atacante necesita estar primero dentro de esa red.

La firma de seguridad Calif reversó el parche de Apple y publicó un vídeo demostrando cómo se explota la vulnerabilidad. En su blog explicaron que «Apple no lanza una actualización fuera de ciclo a menos que algo sea crítico».

Lo que ya ha pasado: mineros de Monero con acceso root

El Centro Nacional de Ciberseguridad de los Países Bajos (NCSC) emitió una advertencia tras recibir notificación de varios incidentes en los que atacantes explotaban esta brecha para instalar mineros de Monero. La razón es sencilla: Monero no requiere hardware especializado (ASICs), sino que puede minarse con cualquier CPU o GPU, lo que lo convierte en la opción ideal para los ciberdelincuentes.

Pero el minado no es lo peor que podría ocurrir. Con acceso root, un atacante puede instalar malware persistente, robar credenciales y claves, desplegar más software malicioso o moverse lateralmente por la red.

El primer investigador que descubrió el exploit estimó que había aproximadamente 40.000 Macs con Compartir Pantalla activado y accesibles desde internet. Una cifra que da una idea del volumen de posibles objetivos.

Cómo proteger tu Mac

La solución más eficaz es instalar la actualización de inmediato. Para ello:

  1. Haz clic en el menú Apple > Ajustes del Sistema (o Preferencias del Sistema en versiones antiguas).
  2. Ve a General > Actualización de software.
  3. Si hay una actualización disponible, haz clic en Actualizar ahora y sigue las instrucciones.

Si por algún motivo no puedes actualizar, desactiva Compartir Pantalla:

  1. Menú Apple > Ajustes del Sistema > General > Compartir.
  2. Busca Compartir Pantalla y asegúrate de que esté desactivado (en gris).
  3. También revisa Gestión remota, otro posible vector de ataque, y mantenlo apagado si no lo usas.

El parche ya está disponible para macOS Tahoe 26.6.1, Sequoia 15.7.9 y Sonoma 14.8.9. Instálalo cuanto antes. No solo te protegerás de los mineros de Monero, sino también de cualquier otro ataque que aproveche el acceso root que esta vulnerabilidad concede.