Las versiones que lo corrigen son macOS Tahoe 26.6.1, Sequoia 15.7.9 y Sonoma 14.8.9. Las versiones anteriores de esas familias, incluidas la 26.6, la 15.7.8 y la 14.8.8, siguen sin estar protegidas. No se trata de la actualización habitual de julio. Esa actualización ya había corregido otros tres fallos distintos relacionados con la función «Compartir pantalla». Esta llega unos diez días más tarde, por separado.
Lo que dice realmente el aviso
Sin intervención del usuario. Sin cuenta válida. El único requisito que menciona Apple es el acceso a la red del servicio. Huntress y Tanium detallan posteriormente el alcance práctico: cualquier Mac con la función «Compartir pantalla» activada y al que se pueda acceder al puerto 5900 desde una red no fiable, especialmente desde Internet abierto. Un Mac con esta función desactivada no es vulnerable a través de este vector, incluso si no está parcheado. El código vulnerable sigue ahí hasta que se publique la actualización.
Apple no publica ninguna puntuación de gravedad y, a fecha de 6 de agosto, no ha informado de ningún caso de explotación. Crédito del boletín de Tahoe: Alfredo Pesoli a través de Bynario Atlas.
Lo que ocurre tras el parche
El NCSC neerlandés señala el CVE el 7 de agosto. El 12 de agosto revisa el aviso NCSC-2026-0280: en todos los Mac expuestos a Internet que analizó con el puerto 5900 abierto, los atacantes ya tenían acceso de root y habían instalado un minero de Monero. Para entonces ya se había publicado código público de prueba de concepto. Posteriormente, la CISA reevaluó el CVE, elevando su puntuación de 7,1 a 9,8, y, el 18 de agosto, lo incluyó en la lista de vulnerabilidades explotadas conocidas. Microsoft Security Intelligence, ese mismo día, informó de un conjunto limitado de Macs comprometidos: tras obtener acceso de root a través de la función «Compartir pantalla», se utilizó una clave SSH, se borraron los registros, se modificaron los filtros de paquetes y se instaló XMRig 6.26.0 como un binario oculto en `.config/sysmond` con el nombre `com.apple.airportd`.
Esos hechos posteriores no reescriben lo ocurrido el 6 de agosto. Muestran por qué era importante la versión de emergencia. Un Mac al que se podía acceder a través del puerto 5900 antes del parche debe, según la formulación del NCSC-NL, considerarse totalmente comprometido incluso después de haber sido actualizado.
No se menciona a ninguna víctima española en los registros públicos. No hay ningún ministerio, ni junta, ni empresa de telecomunicaciones. Este artículo existe porque Apple es la excepción: un demonio de escritorio remoto propio que responde en un puerto conocido, parcheado fuera de banda y cuya explotación se confirmó posteriormente en Europa. No hay dump. No es necesario reproducir una prueba de concepto. El objeto es el propio servicio: «Compartir pantalla», puerto 5900, un inicio de sesión que debería haber solicitado una contraseña y no lo hizo.
Aplica el parche. Si el Mac no necesita «Compartir pantalla», desactívalo. Si estuvo conectado a Internet antes del 6 de agosto, da por hecho que alguien más ya tenía privilegios de root.
