Inc警告黑客正利用Mac关键漏洞挖掘加密货币：屏幕共享风险需立即处置

2026年8月17日20时15分（GMT），Inc报道称，黑客正在主动利用一个影响Mac的关键漏洞，在受影响设备上挖掘加密货币，并敦促用户立即更新系统。同日18时48分，CNET也发布相关安全提醒，指出攻击者可能借助屏幕共享接管Mac，除非用户及时完成更新。现有消息没有提供受影响设备数量、具体系统版本、漏洞编号或攻击收益规模，但“已被主动利用”本身已经足以触发企业级安全应急，而不应继续按照普通补丁周期排队处理。

从安全应急负责人的角度看，这次事件的重点不是单纯阻止一台Mac消耗算力。能够被外部攻击者利用并执行挖矿任务，意味着终端的控制边界可能已经失守；若屏幕共享能力也处于风险路径中，设备上的钱包、交易所会话、浏览器插件和内部管理权限都需要同步接受检查。

已知事实有限，但响应级别不能因此降低

目前可确认的信息主要有三点：事件影响Mac设备；漏洞被黑客主动利用；攻击用途包括挖掘加密货币。CNET的报道进一步把风险指向屏幕共享与设备接管。除此之外，现有素材没有明确说明攻击是否需要用户交互、哪些版本已经修复，以及黑客是否还执行了挖矿之外的操作。

这意味着应急团队不能自行补全攻击链，更不能把CPU占用升高、风扇持续运转或设备发热直接认定为已经中招。这些现象可以作为排查线索，却不能代替日志、进程、网络连接和系统变更记录。

但信息不完整也不是延迟响应的理由。“正在主动利用”与“理论上可被利用”属于两个不同级别。前者说明风险已经进入现实攻击阶段。企业若仍等待完整技术通告、统一维护窗口或所有业务部门确认，暴露时间就会继续扩大。更稳妥的做法是立即进入受控处置：确认资产范围、限制高风险访问、推动官方更新，并保留必要证据。

第一轮动作：盘清Mac资产，再分级隔离

应急启动后，第一项任务是形成准确的Mac设备清单。团队应确认设备归属、当前系统版本、是否在线、是否开启屏幕共享，以及设备上是否存在加密资产相关应用。尤其要优先识别用于交易、财务审批、开发签名、节点维护和远程运维的终端。

设备可按风险分为三类。第一类是已经出现异常资源占用、未知进程、异常外联或远程控制迹象的Mac。这些设备不应只做重启和升级，而应先从生产网络隔离，在保留系统时间、进程状态和连接记录后开展取证。第二类是开启屏幕共享、对外提供远程访问，或者持有高权限凭据的设备，应暂停相关入口并优先更新。第三类是普通办公终端，也要纳入版本核验，不能因为未处理加密资产就被排除。

这里需要避免两个常见错误。一是直接把异常进程删除，导致攻击时间线和关联信息丢失；二是让员工自行搜索非官方补丁或所谓清理工具。紧急更新必须来自苹果官方的软件更新渠道，版本要求则应以苹果发布的信息和企业终端管理平台实际检测结果为准。

安装更新不等于完成事件闭环

对尚未发现入侵迹象的设备，尽快更新可以缩短漏洞暴露窗口；对疑似已经遭利用的设备，补丁只能阻断相应漏洞继续被使用，不能自动证明攻击者留下的进程、账户、远程访问配置或会话已经消失。

因此，更新完成后至少还要进行三项核验。首先确认设备确实安装到官方提供的最新适用更新，而不是停留在“已经下载”或“等待重启”状态。其次复查屏幕共享及其他远程访问配置，确认是否仍有业务必要，并检查授权用户与访问范围。最后观察进程、资源占用和网络连接是否恢复到基线，排查未知程序及未经批准的启动项目。

如果终端上登录过交易所、托管平台、内部管理后台或云服务，仅在原设备上修改密码并不稳妥。疑似失陷设备可能已经不再可信，密码重置、会话注销和密钥轮换应从已确认安全的另一台设备发起。涉及钱包时，还要区分助记词、私钥、硬件钱包配套软件与普通登录密码，不能用一次统一改密替代资产级检查。

加密业务团队要扩大检查范围

挖矿行为最直观的影响是占用计算资源、增加能耗并拖慢终端，但对区块链企业而言，潜在后果可能更广。Mac常被用于浏览器钱包操作、交易所登录、代码开发和日常审批。如果攻击者能够接管屏幕或控制设备，风险对象就不再只是算力，而是用户会话、操作内容及本地保存的敏感资料。

安全团队应与财务、交易和研发负责人共同核对事件窗口内的关键操作，包括钱包授权、交易所登录、提币地址变更、代码发布和管理权限调整。现有报道并未说明攻击者实施了盗币或篡改操作，因此不能把所有异常交易归因于该漏洞；但对疑似失陷设备产生的高风险操作，应提高复核等级。

如果Mac承担签名或资产审批职能，应临时将关键动作迁移到已验证的干净终端，并增加人工复核。任何资产转移决定都应建立在终端是否失陷、密钥是否暴露等具体判断上，不宜因为看到挖矿迹象就仓促移动全部资产，以免在不受信任的设备上制造新的签名风险。

企业应把处置结果落实到可验证状态

这次响应不应以“通知员工更新”作为结束。应急负责人需要拿到能够验证的结果：多少台Mac已经纳入管理，多少台完成更新和重启，哪些设备仍因业务原因延期，哪些终端出现可疑迹象，以及屏幕共享入口是否已经复核。

对于无法立即更新的设备，应采取临时限制措施，包括撤销不必要的远程访问、隔离高风险网络路径、减少设备接触敏感系统的权限，并明确补丁完成时间。对长期游离于企业终端管理之外的个人Mac，也要限制其访问核心业务，而不是仅依赖员工口头确认。

现有报道尚未给出漏洞编号、明确受影响版本和攻击规模，企业不应据此编造感染范围，也不能对外宣称已完全排除风险。当前最合理的结论是：Mac关键漏洞已经进入主动利用阶段，挖矿是已披露的攻击用途，屏幕共享接管风险也受到同期报道关注。应急工作的目标，是尽快减少暴露面，同时把疑似失陷设备与单纯待更新设备分开处理，避免一次补丁安装掩盖真正的入侵事件。