macOSの画面共有とBTCPay Serverで悪用を確認 2026年8月の脆弱性2件と修正版

2026 9/26

2026.08.18 2026.09.26

監修：佐藤翔（証券会社に約20年勤務）
運営：株式会社シンセイサービス（AGITO編集部）／運営者情報・編集方針

編集部メンバー：なってぃ｜AGITO編集部（Xプロフィール）

2026年8月、暗号資産に関係するソフトウェアの脆弱性で、実際に悪用されたことが確認された事例が2件公表されました。macOSの「画面共有」機能と、ビットコイン決済ソフト「BTCPay Server」です。どちらもすでに修正版が公開されています。

1件目は、Mac の「画面共有」という機能の欠陥です。同じネットワークにいる相手が、パスワードを知らなくても Mac に入り込める状態でした。オランダの政府機関は8月12日、この欠陥が実際に使われ、入られた Mac で勝手に暗号資産を掘るプログラムが動かされていたと発表しました。

2件目は、お店が自分でビットコイン決済を受けるためのソフト「BTCPay Server」の欠陥です。こちらは開発元が「実際に攻撃され、利用者の資金が盗まれた」と公表しました。

どちらも修正版が出ています。1件目は Apple が8月6日に、2件目は開発元が日本時間の8月8日に公開しました。

この記事で分かること

macOSの画面共有で何が起きたのか、影響を受ける条件
「悪用された」と言っているのは誰なのか（Apple とオランダの政府機関で書いていることが違います）
BTCPay Server で何が起きたのか、対象と対象外の切り分け
2件に共通していること
現時点で未確定の事項

制度・技術情報の整理であり、特定の投資判断や資産の移動を推奨するものではありません。

macOSの画面共有の脆弱性（CVE-2026-65400）

Appleが公表した内容

Apple は2026年8月6日、macOS の更新を3つ公開しました。macOS Tahoe 26.6.1、macOS Sequoia 15.7.9、macOS Sonoma 14.8.9 の3件です。

いずれも「Screen Sharing（画面共有）」という項目について、次のように記載しています。

影響：ネットワーク上の攻撃者が有効な資格情報なしで画面共有の認証に成功する可能性がある。

説明：ステート管理を改善し、認証の脆弱性に対処しました。

画面共有は、同じネットワーク上にある別の Mac の画面を見たり操作したりするための機能です。本来はログイン情報を持っている人だけが接続できます。その確認の処理に不備があり、正しいログイン情報を持たない相手でも接続できてしまう状態でした。

この脆弱性には CVE-2026-65400 という識別番号が付けられています。深刻度の指標である CVSS の基本値は 9.8（CRITICAL）とされています。ただしこれは欠陥そのものの深刻さを表す点数であって、実際にどれだけの被害が出たかを示す数字ではありません。

日本では、JPCERT/CC が 2026年8月13日号の週次レポートで、この件を最初の項目として取り上げています。

「悪用された」と発表したのはAppleではない

ここは分けて理解する必要があります。Apple のページには、この脆弱性が悪用されたという記載はありません。Apple は修正した内容と対象バージョンだけを公表しています。

悪用を報告したのは、オランダの国立サイバーセキュリティセンター（NCSC）です。NCSC は8月12日、勧告 NCSC-2026-0280 を版1.01に更新し、次の内容を追記しました。

公開された実証コード（PoC）が出回っており、実際の悪用が確認されている
NCSC は、ポート5900がインターネットから到達できる状態だった複数のシステムで悪用が観測されたという報告を受けた
いずれの事例でも root 権限（管理者権限）が取得され、Monero を採掘するプログラムが設置されていた

NCSC はこの件について、発生可能性を「medium」、被害を「high」と評価しています。

影響を受ける条件

NCSC の記載から読み取れる条件は次のとおりです。

	内容
前提	Mac 側で「画面共有」が有効になっていること
観測された事例	ポート5900がインターネットから到達できる状態だったもの
取得されたもの	root 権限
設置されたもの	Monero を採掘するプログラム

macOS の画面共有は、標準では有効になっていません。設定で自分から有効にした場合に対象となります。「システム設定」の共有の項目で、画面共有が入になっているかどうかが確認項目のひとつです。

なお、NCSC が観測したと述べているのは採掘プログラムの設置までです。暗号資産そのものが盗まれたという記載はありません。ただし root 権限が取得されている以上、その端末で扱っていた情報が影響を受けないと断定できる材料も、公表資料にはありません。

BTCPay Serverの脆弱性（2.4.2で修正）

開発元が「資金が盗まれた」と公表

BTCPay Server は、事業者が決済代行会社を通さずに、自分でビットコインやライトニングネットワークの決済を受け取るためのオープンソースのソフトウェアです。

BTCPay Server プロジェクトはセキュリティ勧告で、次のように記載しています。

We have confirmed that attackers exploited this vulnerability. Users were affected and funds were stolen.

（攻撃者がこの脆弱性を悪用したことを確認した。利用者に影響が及び、資金が盗まれた。）

内容は、未認証のリモートの攻撃者が「LND」の認証ファイル（.macaroon）を取得できるというものです。LND はライトニングネットワークのソフトウェアの実装のひとつです。この認証ファイルを持つと、LND のノードを制御して資金を動かすことができるとされています。

対象と対象外の切り分け

勧告では、影響範囲が細かく分けて説明されています。

対象	状況
2.4.2 より前のすべてのバージョン（2.4.2のリリース候補版を含む）	脆弱性あり
2.4.2	修正済み
LND を使っている環境	認証ファイル流出と資金移動のリスクの対象
LND 以外のライトニング実装／ライトニングを使っていない環境	この認証ファイルのリスクの対象外
BTCPay Server のオンチェーンウォレット（ホットウォレットを含む）	影響を受けない
LND 自身のオンチェーンウォレット	影響を受けた LND ノードの一部であり、リスクの対象

同じ「オンチェーンウォレット」という言葉でも、BTCPay Server 側のものと LND 側のもので扱いが異なります。

プロジェクトは当初、念のため BTCPay Server のオンチェーンウォレットから資金を移すよう案内していましたが、その後の調査で影響は LND のみと確認したと説明しています。

開発元が案内している対応

勧告に書かれている内容は次のとおりです。

LND を使っていて 2.4.2 より前を動かしている場合は、2.4.2 への更新を求めている
更新すると LND も 0.21.1 になり、認証ファイル（macaroon）が自動的に再生成される
BTCPay Server の外側（独自のリバースプロキシ、Tor サービス、ポート転送など）から LND を公開している場合は、BTCPay Server を更新しても経路は閉じないため、認証情報の入れ替えが別途必要としている
すぐに更新できない場合は、更新できるまでサーバーをオフラインにするよう求めている
LND 利用者に対し、身に覚えのない支払い・予期しないチャネル閉鎖・見知らぬ接続先・残高の食い違いがないかの確認を挙げている

技術的な詳細については、運用者が更新する時間を確保する必要があるため、まだ公開していないと説明しています。

また 2.4.2 では、Docker 構成において LND の API の公開アクセスが一時的に外されています。このため Zeus のような外部のウォレットから、BTCPay Server のドメインや Tor のアドレス経由で接続できなくなります。プロジェクトは、安全になった時点で戻す予定としています。

2件に共通していること

性質の違う2件ですが、公表資料を並べると共通点があります。

	macOS 画面共有	BTCPay Server
修正版の公開	2026年8月6日（Apple）	日本時間2026年8月8日（2.4.2）
悪用の確認	NCSC が確認（Apple の記載はなし）	開発元が確認
確認された実害	root 権限の取得と採掘プログラムの設置	資金の盗難
対象になる条件	画面共有が有効で、外部から到達できる状態	LND を使っている環境
影響する人の範囲	画面共有を自分で有効にした利用者	自分で決済基盤を運用している事業者

どちらも、外部から到達できる状態で動かしていた環境が狙われているという点は共通しています。一方で、影響する人の範囲はいずれも限定的です。取引所に口座を持って売買しているだけの場合、この2件が直接あてはまる場面は多くありません。

なお2026年8月には、Coldcard のシード生成に関する件や、Trezor の配送代行業者からの情報流出も公表されています。こちらは機器と顧客情報の話で、今回の2件とは別の事案です。

現時点で未確定の事項

macOSの画面共有について

悪用がいつから観測されていたのか（NCSC の勧告に開始時期の記載がありません）
影響を受けた端末の数と、その所在地（公表資料に記載がありません）
日本国内で被害が観測されたかどうか（JPCERT/CC の週次レポートは Apple の情報源を示すのみで、国内の観測状況には触れていません）
採掘プログラムの設置以外の目的に使われたかどうか（NCSC の記載は採掘プログラムの設置までです）
Apple が悪用の有無について今後見解を示すかどうか

BTCPay Serverについて

盗まれた金額と、影響を受けた利用者の数（勧告に記載がありません）
脆弱性がいつから存在し、攻撃がいつ始まったのか（勧告に記載がありません）
技術的な詳細（運用者の更新のため未公開とされています）
事後検証（postmortem）の内容。勧告は「今後まとめて公開する」としており、公開時期は示されていません
Docker 構成で外された LND API の公開アクセスが、いつ戻されるのか

この記事のまとめ

2026年8月、暗号資産関連ソフトの脆弱性で実際に悪用が確認された事例が2件公表されました。macOSの「画面共有」機能（CVE-2026-65400）と、ビットコイン決済ソフト「BTCPay Server」です
macOSの脆弱性はAppleが8月6日に修正版を公開しましたが、悪用の有無はAppleではなくオランダの国立サイバーセキュリティセンター（NCSC）が公表しており、root権限の取得とMonero採掘プログラムの設置が観測されたとしています
対象は画面共有を有効にし、かつポート5900が外部から到達できる状態だった環境です
BTCPay Serverは開発元が「攻撃者がこの脆弱性を悪用し、利用者の資金が盗まれた」と公表しました。LND（ライトニングネットワーク）を使っている環境の認証ファイルが対象で、BTCPay Server自体のオンチェーンウォレットは影響を受けないとされています
修正版はmacOSが8月6日、BTCPay Serverが日本時間8月8日（v2.4.2）に公開されています

この記事に出てくる言葉

脆弱性: ソフトウェアの作りにある欠陥のうち、悪用されると本来できないはずの操作ができてしまうもの。修正されたプログラムに入れ替えることで解消します。
CVE: 脆弱性ひとつひとつに世界共通で振られる識別番号。同じ欠陥を各国の機関や企業が別々の言い方で説明しても、この番号で同一のものだと分かります。
CVSS: 脆弱性の深刻さを0〜10で表す指標。欠陥そのものの危険度を示すもので、実際に何件の被害が出たかを表す数字ではありません。
PoC（実証コード）: 脆弱性が本当に悪用できることを示すために作られた、動作する見本のプログラム。これが公開されると、攻撃に流用されるまでの時間が短くなります。
ポート: 通信の種類ごとに割り当てられた出入口の番号。画面共有は5900番を使います。この番号がインターネット側から到達できる状態だと、外部から接続を試みられます。
root権限: そのコンピュータで何でも実行できる最上位の管理者権限。これを取られると、プログラムの追加も設定の変更も自由に行われてしまいます。
モネロ（XMR）: 送金の記録を追跡しにくくする仕組みを持つ暗号資産。一般的なCPUでも採掘できる設計のため、他人の端末を無断で使って採掘する攻撃で使われることがあります。日本の暗号資産交換業者では取り扱われていません。
マイニング（採掘）: 計算処理を行ってブロックチェーンの取引記録を確定させ、その対価として暗号資産を受け取る仕組み。他人の端末に無断で行わせると、その端末の持ち主が電気代と処理能力を負担することになります。
ライトニングネットワーク: ビットコインの少額・高速の送金を実現するための仕組み。ブロックチェーンの外側でやり取りし、結果だけを記録します。LND はその実装のひとつです。
macaroon（認証ファイル）: LND のノードを操作する権限を示すファイル。パスワードに相当するもので、これを手に入れた相手はノードを制御して資金を動かせます。
オンチェーンウォレット: ブロックチェーンに直接記録される形で資産を保管するウォレット。今回は、BTCPay Server 側のものと LND 側のもので影響の有無が分かれています。
オープンソース: プログラムの中身が公開され、誰でも内容を確認したり改良したりできるソフトウェア。BTCPay Server もこれにあたります。