CVE-2026-43760 : RCE root à distance via Screen Sharing macOS sur Apple Silicon

🔍 Contexte

Publié le 29 juillet 2026 par Alfredo Pesoli sur le blog de Bynario (bynar.io), cet article présente une analyse technique détaillée d’une vulnérabilité découverte dans le service Screen Sharing de macOS, affectant les systèmes équipés de puces Apple Silicon (M4 et M5), testés sous macOS 26.5.2 avec SIP activé.

🐛 Nature de la vulnérabilité

La vulnérabilité CVE-2026-43760 est une faille logique d’autorisation (confused deputy) dans le service screensharingd et ses helpers SSFileCopySender et SSFileCopyReceiver. Elle n’implique aucune corruption mémoire, buffer overflow, use-after-free, ROP chain ou bypass de PAC/MIE.

Le problème réside dans la coexistence de deux chemins d’authentification dans Screen Sharing :

• Chemin natif Apple : résout un utilisateur macOS avec UID/GID propres → les helpers s’exécutent sous l’identité de l’utilisateur authentifié.
• Chemin VNC legacy (RFB security type 2) : authentifie uniquement par mot de passe VNC, sans identité macOS → les helpers conservent les droits root (uid=0, gid=80).

⚠️ Deux primitives exploitables

Bug #1 : Via StartFileSend, un viewer VNC peut demander l’envoi de n’importe quel fichier protégé (ex: /etc/sudoers), qui est lu et transmis par le helper tournant en uid=0.

Bug #2 : Via StartFileReceive, un viewer VNC peut créer un fichier arbitraire avec destination, nom, mode et contenu entièrement contrôlés, exécuté en uid=0.

💥 Chaîne d’exploitation vers RCE root

1. Authentification VNC (mot de passe VNC connu)
2. Envoi d’un fichier via SSFileCopyReceiver vers /private/etc/sudoers.d/99-screensharing-filecopy-proof (owner: root:wheel, mode: 0440)
3. La règle sudoers valide permet à un utilisateur non-admin d’exécuter sudo -n /bin/bash → shell root
4. Démonstration end-to-end : écriture d’un script callback + ouverture de Terminal via la session Screen Sharing GUI → shell root interactif distant
5. Variante : placement d’un LaunchAgent pour déclenchement au prochain login utilisateur

🛡️ Conditions préalables

• Screen Sharing ou Remote Management activé
• Option “VNC viewers may control screen with password” configurée
• Connaissance du mot de passe VNC

📊 Scoring CVSS

• Apple : CVSS 3.1 base score 5.5 — description : “An app may be able to access user-sensitive data”
• Bynario (conservateur) : 8.0 High — CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
• Bynario (session active) : 8.8 High — CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

🔧 Correctifs

• Corrigé dans macOS Tahoe 26.6 (27 juillet 2026) et macOS Sonoma 14.8.8
• Mitigation immédiate : désactiver “VNC viewers may control screen with password”

🤖 Méthode de découverte

La vulnérabilité a été découverte via un workflow automatisé utilisant GPT-5.5 pour la découverte et la validation différentielle (signal sémantique : même opération → uid=502 sous auth native, uid=0 sous VNC legacy), via l’outil Bynario Atlas.

📄 Type d’article

Analyse technique approfondie et publication de recherche en vulnérabilité, visant à documenter une faille logique originale dans macOS, contester le scoring officiel Apple, et promouvoir la plateforme de découverte automatisée Bynario Atlas.

🧠 TTPs et IOCs détectés

TTP

• T1021.005 — Remote Services: VNC (Lateral Movement)
• T1548.003 — Abuse Elevation Control Mechanism: Sudo and Sudo Caching (Privilege Escalation)
• T1083 — File and Directory Discovery (Discovery)
• T1005 — Data from Local System (Collection)
• T1222 — File and Directory Permissions Modification (Defense Evasion)
• T1543.001 — Create or Modify System Process: Launch Agent (Persistence)
• T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)

IOC

• CVEs : CVE-2026-43760 — NVD · CIRCL
• Fichiers : 99-screensharing-filecopy-proof
• Chemins : /private/etc/sudoers.d/99-screensharing-filecopy-proof
• Chemins : /private/tmp/screensharing-filecopy-root-callback
• Chemins : /etc/sudoers

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 19 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 55/100 (moyenne)

• ⬜ bynar.io — source non référencée (0pts)
• ✅ 16631 chars — texte complet (fulltext extrait) (15pts)
• ✅ 5 IOCs (IPs/domaines/CVEs) (10pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 7 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://bynar.io/blog/a-root-remote-command-execution-on-macos-with-m5-in-2026