macOS CVE-2026-65400の影響と初動対応

冒頭要約

Appleは2026年8月6日、macOSのScreen Sharingに関する認証不備 CVE-2026-65400 を修正しました。CISAは8月18日、この脆弱性を「実際の悪用が確認された脆弱性」の一覧であるKnown Exploited Vulnerabilities（KEV）へ追加しています。

影響する可能性があるのは、macOS Sonoma 14.8.9未満、Sequoia 15.7.9未満、Tahoe 26.6.1未満の端末です。まず資産台帳やMDMでOSバージョンを確認し、各端末のScreen Sharingが有効か、誰に許可され、どのネットワークから到達できるかを突き合わせます。

不審な遠隔操作や設定変更が見つかった場合は、更新だけで終了せず、認証・端末管理・ネットワークの証跡を保全してインシデント対応へ切り替えます。この記事は攻撃を再現するための手順ではなく、個人利用者、情シス、開発者、SaaS管理者、SOC・CSIRTが確認と初動を進める順序を整理したものです。

CISAの期限を日本の一律期限と誤解しない

CISA KEVの2026年8月21日という対応期限は、米国連邦政府機関に対する運用上の期限です。日本の組織へ同じ法的期限がそのまま適用されるわけではありません。ただし、既知の悪用が確認された事実は優先度判断に利用できます。自組織では、端末の重要度、機能の有効状態、ネットワーク到達性、証跡の有無を基に対応期限を決めてください。

何が起きたか：CVE-2026-65400とは

CVE-2026-65400は、macOSのScreen Sharingにおける認証状態の管理不備です。AppleとCISAの説明では、ネットワーク上の攻撃者が、有効な認証情報なしにScreen Sharingへ認証できる可能性があります。Appleは、状態管理を改善することで問題へ対処したと説明しています。

確認項目	2026年8月24日時点の公式情報
CVE	CVE-2026-65400
対象機能	macOS Screen Sharing
修正版	macOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9
Apple公開日	2026年8月6日
CISA KEV追加日	2026年8月18日
CISA KEV期限	2026年8月21日
CWE	CWE-287: Improper Authentication
既知のランサムウェア利用	Unknown（CISA KEV記載）

NVDの構成情報では、Sonoma 14.0以上14.8.9未満、Sequoia 15.0以上15.7.9未満、Tahoe 26.0以上26.6.1未満が影響範囲として登録されています。組織の端末がこの範囲にある場合は、機能を使っていないという申告だけで除外せず、実際の設定と管理構成を確認します。

Screen SharingとRemote Managementを分けて確認する

AppleのMacユーザガイドでは、Screen Sharingはネットワーク上の別端末からMacの画面を表示・操作するための機能です。macOSの「一般」から「共有」を開くと、Screen SharingとRemote Managementを個別に確認できます。Appleは両機能を同時には有効にできないと説明しています。

今回Appleが影響対象として明記しているのは Screen Sharing です。Remote Managementまで同じ脆弱性の影響を受けると断定してはいけません。一方、組織ではMDMやApple Remote Desktopを通じてRemote Managementを利用している場合があるため、「Screen Sharingは無効だった」という確認と併せて、別の遠隔管理経路が存在するかを資産台帳へ記録します。

読者別の影響：誰が何を確認するか

読者・担当	まず確認すること	判断につなげる情報
個人利用者	macOSのバージョン、Screen Sharingの有効状態	自宅・職場・共有ネットワークでの利用、許可ユーザー
情シス・MDM管理者	全端末のOSバージョン、更新状態、共有設定	未更新端末、例外端末、VPN・管理ネットワークからの到達性
開発者・SRE	開発Mac、ビルド端末、検証機、共有Mac mini	ソースコード、署名・CI資格情報、クラウド権限の有無
SaaS・ID管理者	端末に残る管理セッションと高権限アカウント	IdP、MDM、クラウド管理画面、パスワード管理ツールへの接続
ヘルプデスク	正規の遠隔支援手段と例外設定	誰が、いつ、どの端末へ接続する運用か
SOC・CSIRT	遠隔操作の兆候、設定変更、ログの欠落	侵害疑い、影響範囲、証拠保全、封じ込めの要否

開発端末や管理者端末は、同じ1台でも保持する権限が大きく異なります。OSバージョンだけで優先順位を決めず、ソースコード、署名鍵、クラウド管理権限、顧客情報、IdP管理セッションなど、その端末から到達できる資産を確認します。

まず確認すること：実務チェックリスト

1. 対象端末とOSバージョンを特定する

資産台帳、MDM、EDRなど、確認に使ったデータソースと取得時刻を記録した。
Sonoma、Sequoia、TahoeごとにOSバージョンを一覧化した。
Sonoma 14.8.9、Sequoia 15.7.9、Tahoe 26.6.1以上へ更新済みか確認した。
オフライン端末、休眠端末、予備機、検証機、共有Mac、ビルド端末を確認した。
更新できない端末の所有者、業務理由、代替制御、再確認日を決めた。

端末からの自己申告だけでなく、可能であればMDMや資産管理の集計と照合します。長期間接続していない端末は、管理画面で古い情報のまま止まっている可能性があるため、最終チェックイン時刻も記録します。

2. Screen Sharingの状態と許可範囲を確認する

「システム設定」>「一般」>「共有」でScreen Sharingの有効状態を確認した。
Screen Sharingが有効な場合、接続を許可するユーザー・グループを確認した。
全ユーザー許可、共有管理者、退職者、不要なローカルアカウントが含まれていないか確認した。
MDMの構成プロファイル、設定カタログ、スクリプトなどで共有設定を変更していないか確認した。
Remote Managementを使う端末は、今回の影響対象と混同せず、別の遠隔管理経路として記録した。

設定のスクリーンショットだけでは、取得時刻や端末との対応が不明確になりがちです。端末ID、シリアル番号など組織で使う識別子、確認時刻、確認者、設定値を同じ記録へ残します。

3. ネットワーク到達性と端末の重要度を確認する

インターネット、社内LAN、VPN、管理ネットワーク、無線LANごとに到達範囲を確認した。
ネットワークセグメンテーション、ホストファイアウォール、アクセス制御の状態を確認した。
来客用・共有・開発・本番管理ネットワークのどこへ接続する端末か確認した。
管理者端末、ビルド端末、顧客情報を扱う端末、共用端末を優先対象として識別した。
正規の遠隔支援担当者と接続元を特定し、想定される通信と区別できるようにした。

「インターネットへ直接公開していない」だけでは確認完了になりません。公式説明はネットワーク上の攻撃者を条件としているため、同じLAN、VPN、管理セグメントなどからの到達可能性も含めて判断します。

4. 証跡と不審な兆候を確認する

Screen Sharing、認証、ログイン、端末管理、ネットワークのログ保持期間を確認した。
想定外の遠隔操作、ログイン、許可ユーザー変更、共有設定変更がないか確認した。
MDMプロファイル、ローカルアカウント、管理者権限、セキュリティ設定の変更履歴を確認した。
EDRや端末監視で、調査対象時刻に不審なプロセス・永続化・設定変更がないか確認した。
ログ欠落、端末の長期オフライン、時刻ずれなど、判断できない範囲を記録した。

確認は正規の管理画面と収集済みログで行い、認証回避の再現や接続テストは行いません。組織でログの場所や保持条件が分からない場合は、その不明点自体をリスクとして残し、MDM・EDR・ネットワーク担当へ引き継ぎます。

初動対応：やること、やらないこと、記録すること

やること

端末所有者、OSバージョン、共有設定、許可ユーザー、ネットワーク到達性を同じ台帳へ集約する。
Apple公式の修正版へ更新する。証跡保全が必要な場合も、緊急更新を不必要に遅らせず、取得可能な設定とログを並行して保全する。
更新まで猶予が必要な端末では、業務影響を確認したうえでScreen Sharingの停止やネットワーク制限を検討する。
MDMで更新を配布する場合は、配布指示だけで完了とせず、インストール結果、再起動、再チェックイン、残存端末を確認する。
不審な遠隔操作や変更がある場合は、インシデントレスポンスへ切り替え、端末、アカウント、ネットワークの影響範囲を確認する。
高権限セッションや資格情報への影響が疑われる場合は、証拠と範囲を確認しながらセッション失効、認証情報の変更、端末隔離を判断する。

やってはいけないこと

認証回避、接続可否、攻撃コードを使った再現を行わない。
Screen Sharingを無効にしただけで、影響バージョンの更新を不要と判断しない。
更新済みという理由だけで、更新前の不審な遠隔操作や設定変更を未確認のまま閉じない。
証跡保全前に端末の初期化、ログ削除、アカウント削除を行わない。
影響範囲を確認せず、全社のパスワードやセッションを一律に変更して業務と証跡を混乱させない。
Remote Managementが有効という事実だけで、CVE-2026-65400の影響を受けたと断定しない。

記録テンプレート

事案ID / 対応責任者:
確認日時 / データ取得日時:
端末ID / 所有者 / 利用部門 / 利用場所:
macOS系統 / 更新前バージョン / 更新後バージョン:
Screen Sharingの有効状態 / 許可ユーザー・グループ:
Remote Managementなど別の遠隔管理経路:
到達可能なネットワーク / 適用された制御:
端末上の重要データ / 管理権限 / 利用中の高権限セッション:
確認したログ / 保持期間 / 欠落範囲:
不審な遠隔操作・ログイン・設定変更:
更新・停止・隔離・セッション対応の実施時刻:
未確認事項 / 代替制御 / 次回確認期限:
エスカレーション先 / 判断者 / 判断理由:

端末から取得したログや設定情報は、個人情報や業務データを含む可能性があります。調査チケットへ無制限に貼り付けず、アクセス制御された保管先、保持期間、共有先を組織の証拠保全・プライバシー方針に合わせます。

優先度とエスカレーションの判断基準

最優先で対応する組み合わせ

次の条件が重なる端末は、通常の定期更新より高い優先度で扱います。

影響バージョンで、Screen Sharingが有効になっている。
広い社内ネットワーク、VPN、共有ネットワーク、インターネットから到達できる。
管理者、開発者、経営層、ヘルプデスクなど、高い権限を持つ利用者の端末である。
ソースコード、署名・CI資格情報、顧客情報、クラウドやIdPの管理セッションを扱う。
ログが短期間しか残らない、端末がオフライン、所有者が不明など、調査可能性が下がっている。

インシデント対応へ切り替える条件

次のいずれかがある場合は、更新作業だけで閉じず、CSIRT・SOC・管理責任者へエスカレーションします。

利用者が開始していない遠隔操作、カーソル移動、画面操作、アプリ起動を確認した。
Screen Sharingの有効化、許可ユーザー、ローカルアカウント、管理者権限に説明できない変更がある。
MDMプロファイル、EDR、ファイアウォール、ログ設定が無効化・変更されている。
調査対象時刻に不審な認証、プロセス、永続化、外部通信がある。
高権限アカウント、機密データ、ソースコード、署名・クラウド資格情報へアクセスされた可能性がある。
複数端末、複数利用者、複数ネットワークで同様の兆候が見つかった。

不審点がない場合も、「確認した期間」「確認できなかったログ」「残る代替制御」を記録します。証跡がないことは、安全が確認できたことと同じではありません。

よくある誤解

「KEV入りしたので、すべてのMacが侵害済み」

KEVは、CISAが実際の悪用を確認した脆弱性の優先リストです。個々の端末が侵害されたことを示す一覧ではありません。対象バージョン、Screen Sharingの状態、到達性、ログを確認して判断します。

「ファイル共有をオフにしているから画面共有もオフ」

macOSのSharing設定では、File SharingとScreen Sharingは別の項目です。設定画面でScreen Sharingそのものを確認します。

「オンライン会議で画面共有したことがあるので影響する」

会議アプリやメッセージアプリの画面共有と、macOSのSharing設定にあるScreen Sharingサービスを同一視しないでください。今回の確認対象はAppleがアドバイザリで示したmacOS Screen Sharingです。

「最新版へ更新したので、過去の確認は不要」

更新は再発防止に必要ですが、更新前に不審な接続や設定変更がなかったことを自動的に証明しません。高重要度端末や不審な兆候がある端末では、更新前後の証跡を確認します。

「CVSSだけで全端末の優先度が決まる」

技術的な深刻度は重要ですが、実務では機能の有効状態、ネットワーク到達性、端末が持つ権限、データ、ログ保持期間を加えて対応順を決めます。脆弱性管理では、資産と業務影響を含めた優先度付けを扱っています。

macOS Screen SharingのCVE-2026-65400がCISA KEV入り：影響確認と初動対応

冒頭要約