XM Cyber beschreibt die Methode ausdrücklich nicht als Ausnutzung einer Software-Schwachstelle, sondern als Missbrauch legitimer macOS-Mechanismen. Im Zentrum steht eine Angriffskette, die auf bereits bekannten Grundlagen aufbaut: schwach validierte XPC-Verbindungen sowie manipulierte NIB-Dateien, also Interface-Builder-Dateien von Anwendungen. Solche Techniken seien von Sicherheitsforschern seit Jahren öffentlich dokumentiert und von Apple teilweise adressiert worden.

Der neue Aspekt der Forschung liegt XM Cyber zufolge in der Persistenz des Code-Signing-Vertrauencaches des Kernels. Wird eine legitim signierte Anwendung ausgeführt, bleibt deren Vertrauensstatus demnach bestehen. Ein Angreifer kann dieses Verhalten nach Darstellung des Unternehmens nutzen, um eine schädliche Nutzlast einzuschleusen, die sich als vertrauenswürdige Komponente der Anwendung ausgibt. Auf diesem Weg lasse sich anschließend unauffällig auf privilegierte XPC-Methoden zugreifen.

Die Angriffstechnik wurde laut XM Cyber erfolgreich gegen CrowdStrike Falcon Sensor demonstriert. Dabei sei es gelungen, den Agenten von einem gewöhnlichen Benutzerkonto aus vollständig zu entladen. Gegen Kandji MDM zeigte das Unternehmen eine dauerhafte Deaktivierung über eine zweistufige Kette. Nach Angaben von XM Cyber entfernte der Kandji-Angriff die EDR-Schutzmechanismen und beendete die Erweiterung des Endpoint Security Frameworks.

Zu den Reaktionen der betroffenen Anbieter nennt XM Cyber mehrere Details. CrowdStrike habe eine Prämie im Rahmen eines Bug-Bounty-Programms gezahlt und zusätzliche Erkennungsmechanismen ergänzt. Kandji habe das Problem behoben und der Schwachstelle die Kennung CVE-2026-39118 zugewiesen. Ein dritter, nicht namentlich genannter Anbieter eines Enterprise-EDR-Produkts sei ebenfalls erfolgreich angegriffen worden und arbeite an einem Patch.

Von XM Cyber stammt auch ein weiteres angekündigtes Werkzeug: Der Forscher Hillel Pinto will ein Open-Source-Tool mit dem Namen XPC Hunter veröffentlichen. Es soll die Identifikation ausnutzbarer XPC-Oberflächen zur Rechteausweitung in sämtlichen installierten macOS-Anwendungen automatisieren. Eine ausführliche Präsentation ist laut XM Cyber für die Black Hat US im August 2026 geplant.

SecurityWeek hat nach eigenen Angaben Apple, CrowdStrike und Kandji um Stellungnahmen gebeten und angekündigt, den Bericht bei zusätzlichen Klarstellungen zu aktualisieren.