CVE-2026-65400：遠端 Mac 如何自查？2026 清單

症狀：遠端 Mac 開啟螢幕共享，或你不確定是否已修補 CVE-2026-65400。
最快處置：先依 Apple 公告核對 macOS 更新，再確認螢幕共享與遠端管理是否啟用、網路上是否可達；不要把 SSH 登入直接視為受影響服務。

負責遠端 Mac 或 CI 主機的工程師：核查修補狀態與遠端存取設定。
維護 Apple 平台建置節點的 CI 維運人員：評估更新影響，並安排建置驗收。
負責開發基礎架構的團隊主管：留存主機清單、修復證據與異常升級路徑。

最後更新於 2026 年 10 月 26 日；核對 Apple 安全內容與更新列表，以及 CISA 公告：Apple 安全內容、Apple 安全更新列表、CISA 公告。若 Apple 後續補充說明或發布相關更新，應重新核對官方頁面，不要沿用舊版清單判斷。

先確認漏洞涉及哪條遠端存取路徑

Apple 將 CVE-2026-65400 描述為與 macOS Screen Sharing 認證有關的問題；這不是「所有遠端連線方式都受影響」的說明。應先把服務分開盤點：螢幕共享、遠端管理與 SSH 各自有不同用途、設定入口及網路規則。Apple 對 CVE-2026-65400 的安全說明是界定漏洞範圍與修復資訊的主要依據。

CVE-2026-65400 涉及哪些 macOS 版本？
不要只憑「系統是新版」判定。Apple 的安全內容會列出適用的 macOS 分支與修復資訊；先查看相應公告，再以Apple 的 macOS 版本與組建資訊核對主機版本及組建。Apple 後續發布的系統更新也可能改變判斷，應再查最新安全更新記錄。例如，Apple 的 Sonoma 安全內容與 Sequoia 安全內容應分別閱讀，不要把某一分支的修復資訊套用到另一分支。

只啟用 SSH 的 Mac 也要檢查螢幕共享嗎？
要檢查服務是否啟用，但不應因此推定 SSH 本身受同一漏洞影響。Apple 對此 CVE 指向 Screen Sharing；SSH 是另一條遠端登入路徑。若主機只有 SSH 對外開放、螢幕共享與遠端管理均已停用，應記錄這項配置，並以 Apple 公告確認修補狀態，而不是把 SSH 誤標成該漏洞的受影響服務。Apple 對遠端登入與 SSH 的說明可協助你核對其設定邊界。

依風險狀態處理主機

先記下主機名稱、負責人、目前 macOS 版本及組建，再查對應的 Apple 安全內容。macOS 可從「關於這部 Mac」查看版本資訊；需要記錄組建時，可在終端機執行 sw_vers，並將輸出與 Apple 的版本及組建資料一併保存。這些資料是修補核對的起點，不等同於修補證明。

如果公告顯示該分支有適用更新，而主機尚未安裝，依團隊維護時段部署更新。自託管 CI 節點應先確認建置工作是否可暫停或移轉，再於更新後執行代表性工作；記錄更新前後的版本與組建、建置結果及驗收人員。若找不到能確認修復狀態的 Apple 公告，不要猜測組建號，也不要以更改密碼或縮小允許使用者名單取代安全更新。

提醒：主機目前版本符合修復條件，只能說明目前的修補狀態，不能單獨證明過去沒有遭到存取。若有可疑連線或帳號，應保留記錄並依組織事件應變程序處理。

對螢幕共享與遠端管理，分別查看系統設定中的啟用狀態及允許存取的使用者，再核對主機防火牆、路由器、VPN 或雲端網路規則。設定畫面顯示已啟用，不一定代表服務能從公網連入；反過來，僅在介面上看見受限使用者，也不能證明網路入口只對可信網段開放。可參考 Apple 的螢幕共享設定說明及 Apple Remote Desktop 的連接埠參考，逐項核對實際使用的服務與網路規則。

如何確認遠端 Mac 的螢幕共享連接埠沒有暴露到公網？
從網路邊界反向驗證：先盤點防火牆、路由與雲端安全規則，再由不在管理網路內的核准測試來源確認是否能連入。把測試來源、時間、目的主機、測試結果與規則截圖或變更記錄存檔。若無法確認是否對公網可達，先依變更流程限制入口，再安排核實；不要只看 Mac 上的服務開關就下結論。

SSH 與螢幕共享的邊界，決定收緊哪些設定

SSH 與螢幕共享的安全檢查有什麼不同？
SSH 通常供終端機登入及自動化工作使用；螢幕共享提供圖形桌面存取，遠端管理則可能由管理工具控制。三者應分別記錄啟用狀態、允許對象與網路可達範圍。若 CI 工作只靠 SSH 執行建置，可在變更前確認工作流程不依賴圖形桌面，再按流程關閉不需要的螢幕共享，而非一併停用所有遠端功能。

把修復驗收做成可稽核記錄

修復完成後，將版本與組建、對應 Apple 公告、安裝時間、服務狀態、網路可達測試及 CI 驗收結果放在同一筆主機記錄中。這樣做能分清「已安裝適用更新」、「已收緊遠端存取」與「建置服務通過驗收」是不同的檢查結果，也方便交接時追溯。

若發現未知連線、陌生帳號或其他入侵跡象，不要為了「先修好」而清除可能有用的記錄。依組織事件應變流程保存必要證據、限制風險入口並升級調查；沒有看到異常，也不代表此前沒有發生存取。

完成主機清單、補丁核驗與遠端存取範圍複查後，可按你的部署模式比較遠端 Mac 方案，並參閱 zshmac 常見問題確認服務使用方式。自行維護現有主機的優點是環境與網路策略由團隊掌握，但硬體採購、持續更新、入口防護與 CI 維護都要自行承擔；若只是短期測試隔離環境或評估建置工作，租用 zshmac 的遠端 Mac 可避免為短期需求先購置實機，但仍須自行核對補丁、帳號與網路存取。對長期固定重負載、必須使用實體介面或要求完全自管硬體的情況，維持自有 Mac 可能更合適；不要把租用主機當成安全更新或事件調查的替代品。