macOS 画面共有の認証バイパス（ネットワーク上の攻撃者が資格情報なしで認証・KEV 期限 2026-08-21）

Critical（CVSS 9.8）に分類されるApple macOS Sonoma（14.8.9 未満）/ macOS Sequoia（15.7.9 未満）/ macOS Tahoe（26.6.1 未満。26.7 でも同じ修正が案内されている）/ macOS Golden Gate 27（2026-09-14 の文書に同じ CVE が掲載）の脆弱性です。macOS の画面共有（Screen Sharing）に認証の欠陥があり、ネットワーク上の攻撃者が有効な資格情報を持たないまま認証を通過できる。Apple のセキュリティ文書の記述は「An attacker on the network may be able to authenticate to Screen Sharing without valid credentials」で、修正内容は「An authentication issue was addressed with improved state management」（状態管理の改善による認証問題の修正）。状態管理の不備という表現から、認証手続きの途中の状態を攻撃者が有利な側へ進められる類の欠陥だと読める。CVSS は CISA-ADP（134c704f-9b21-4f2e-91b3-4a467353bcc0）が CVSS 3.1 で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）を付与しており、NVD の Primary スコアは本稿執筆時点で未付与（vulnStatus は Analyzed）。修正版は macOS Sonoma 14.8.9、macOS Sequoia 15.7.9、macOS Tahoe 26.6.1 で、いずれも 2026年8月6日にリリースされている。NVD の CPE も 14.0〜14.8.9未満 / 15.0〜15.7.9未満 / 26.0〜26.6.1未満 の3区間で、サポート中の3系列すべてが対象である。発見者は Alfredo Pesoli（Bynario Atlas 経由）としてクレジットされている。CISA KEV には 2026-08-18 に収載され、是正期限は 2026-08-21。ランサムウェア利用は Unknown（不明）。 **2026年9月14日に、同じ CVE を修正した Apple のセキュリティ文書が2本追加された（2026-09-21 の再点検で確認）。** 「About the security content of macOS Tahoe 26.7」と「About the security content of macOS Golden Gate 27」で、どちらも Screen Sharing Server の項に同じ Impact 文（An attacker on the network may be able to authenticate to Screen Sharing without valid credentials）が載っている。 **つまり 8月の修正版だけを追っていると取りこぼす。** 8月6日に出た 14.8.9 / 15.7.9 / 26.6.1 のほかに、**macOS Tahoe 26.7** と **macOS Golden Gate 27** にも同じ修正が入っている。26.7 は 26.6.1 より後の版なので既に修正済みだが、**Golden Gate 27 は 8月時点では存在しなかった系列**である。27 系へ上げた端末は、8月の棚卸しでは「対象外」に見えていた可能性がある。

この欠陥で決定的なのは「画面共有が有効になっている Mac がどれか」であり、macOS のバージョンはその次である。画面共有はシステム設定の「一般 > 共有」で個別に有効化する機能で、既定では無効である。したがって全 Mac が等しく危険なのではなく、有効にした端末だけが到達可能な標的になる。棚卸しの手順は2段になる。第一に、資産管理（MDM）で macOS のビルドを取り、14.8.9 / 15.7.9 / 26.6.1 以降かを判定する。**2026-09-14 に macOS Tahoe 26.7 と macOS Golden Gate 27 の文書にも同じ CVE が載ったので、27 系へ上げた端末も判定の対象に含める**（8月時点の棚卸しでは存在しなかった系列である）。第二に、画面共有の待ち受け（TCP 5900）が開いている端末を、ネットワーク側から実際に確認する。MDM の設定値だけを信じないほうがよい。手で有効にしたまま忘れられている端末が、この機能では最も多いためである。範囲の考え方も重要である。CVSS の AV:N は「ネットワークから」を意味するが、画面共有をインターネットに直接開けている環境は多くない。現実的な脅威は、同一 LAN 上の他の端末、ゲスト Wi-Fi と社内が分離できていない構成、そして VPN 経由で社内に入ってきた侵害端末である。「外から直接叩けないから後回し」と判断すると、この経路を外す。対応は更新である。3系列すべてに修正が出ているので、OS のメジャーバージョンを上げる必要はない。すぐに更新できない端末の緩和は、画面共有を無効にすることである。この欠陥は画面共有の認証にあるので、機能を止めれば攻撃面自体が消える。リモートサポートで常用している場合は、更新完了までの間だけ、必要な時に有効化し終わったら無効に戻す運用へ切り替える。KEV に収載されている、つまり実際に悪用が確認されているため、更新前に画面共有を有効にしていた端末は侵害を前提に点検する。見るのは、画面共有の接続ログ（システムログの screensharingd 関連）、想定外の時間帯のログイン、そして端末に保存されたブラウザの資格情報とキーチェーンへのアクセス痕跡である。画面共有で入られた場合、攻撃者は「その利用者としてデスクトップを操作できる」状態になるため、端末上で開いていたセッションはすべて影響下にあると考える。完了条件は、（1）全 Mac が 14.8.9 / 15.7.9 / 26.6.1 以降であること、（2）更新前に画面共有を有効にしていた端末の点検が済んでいること、（3）その端末で使っていたアカウントの資格情報を再発行済みであることの3点である。

Apple macOS Sonoma（14.8.9 未満）/ macOS Sequoia（15.7.9 未満）/ macOS Tahoe（26.6.1 未満。26.7 でも同じ修正が案内されている）/ macOS Golden Gate 27（2026-09-14 の文書に同じ CVE が掲載） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-65400）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/21 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。