Im Zentrum steht laut XM Cyber eine Schwäche bei der Verwendung des sogenannten CDHash, eines kryptografischen Kennzeichens, mit dem macOS die Echtheit einer Anwendung prüft. Nach Angaben der Forscher vertraut das Betriebssystem einer Anwendung weiter, sobald deren CDHash einmal im Cache liegt – selbst dann, wenn ein Angreifer später Teile der Anwendung verändert. Das eröffne einem normalen Benutzer die Möglichkeit, legitime Anwendungskomponenten zu imitieren und privilegierte XPC-Dienste aufzurufen, die eigentlich nur korrekt signiertem Herstellercode offenstehen sollten.
XPC-Dienste in macOS dienen der abgesicherten Kommunikation zwischen Anwendungen und Prozessen. Sicherheitswerkzeuge, MDM-Agenten, Systemwerkzeuge und viele andere macOS-Programme nutzen sie, um privilegierte Operationen über im Hintergrund laufende Root-Prozesse anzufordern, etwa für die Installation von Systemerweiterungen, den Zugriff auf Telemetrie auf Kernel-Ebene oder das Entladen von Sicherheitskomponenten.
XM Cyber zufolge lässt sich die Schwäche ausnutzen, indem bösartiger Code in eine sogenannte NIB-Datei innerhalb einer vertrauenswürdigen Anwendung eingeschleust wird. Das System werde dann dazu gebracht, privilegierte Befehle auszuführen. Hillel Pinto, Senior Security Researcher bei XM Cyber, erklärte in einem Bericht in dieser Woche, macOS-Anwendungen stellten routinemäßig privilegierte XPC-Dienste bereit, die als Root laufen, während die Vertrauensgrenzen zum Schutz dieser Schnittstellen grundlegend fehlerhaft seien.
Die Forscher zeigten den Angriff konkret an zwei Produkten. Mit der Methode ließ sich nach Angaben von XM Cyber der CrowdStrike-Falcon-Sensor auf einem macOS-System „vollständig entladen“ und damit die Fähigkeiten zur Endpunkterkennung, Netzwerksichtbarkeit und Prozessüberwachung wirksam neutralisieren. Kandji MDM konnte laut dem Unternehmen auf ähnliche Weise dauerhaft deaktiviert werden. Pinto betonte, die Kombination aus Ausnutzung des CDHash-Caches und NIB-Injektion sei kein Sonderfall dieser beiden Produkte, sondern ein allgemeiner Angriffsbaustein für macOS-Anwendungen mit privilegierten XPC-Diensten und einer benutzerseitigen App-Komponente mit injizierbaren NIBs.
Nicht jede macOS-Anwendung sei betroffen, so Pinto. Anfällig seien Programme, die XPC-Kommunikation zwischen ihren Komponenten implementieren – was in der Praxis einen großen Teil des macOS-Ökosystems einschließe. Entwicklern rät XM Cyber, ihre Validierungslogik für XPC zu überprüfen und zu härten.
Nach Angaben von XM Cyber hat Iru Inc. nach der Meldung der Schwachstelle ein Update für die Kandji-Agent-Software veröffentlicht, das macOS-Systeme gegen den Angriff schützt. Die Schwachstelle wird dort als CVE-2026-39118 geführt. CrowdStrike sei ebenfalls informiert worden; ob bereits ein Patch vorliegt, war laut Bericht zunächst unklar. Die Offenlegung mit dem Sicherheitsteam von CrowdStrike laufe noch, sagte Pinto.
In einer Stellungnahme gegenüber Dark Reading bezeichnete Pinto das Problem als Fehler in macOS selbst, der Anwendungen betrifft, die die von Apple bereitgestellte XPC-Funktionalität nutzen. Hätte Apple die zugrunde liegende Schwäche in macOS behoben, wären diese Produkte über diesen Angriffsweg nicht verwundbar, sagte er. Apple habe jedoch erklärt, die Schwachstelle nicht beheben zu wollen, behauptet Pinto. Dark Reading kontaktierte Apple, erhielt bis Redaktionsschluss aber keine Antwort.
Um weitere betroffene Anwendungen aufzuspüren, hat XM Cyber ein quelloffenes, von einem Large Language Model unterstütztes Werkzeug namens XPC Hunter entwickelt. Es soll Sicherheitsforschern helfen, ausnutzbare XPC-Privilegienausweitungen in anderen macOS-Anwendungen zu finden. XM Cyber will XPC Hunter im August auf der Black Hat USA vorstellen. Laut Pinto ist das Werkzeug ausschließlich für Forschung gedacht, um die Schwachstelle in eigenen Umgebungen und bei Anwendungen zu identifizieren, zu validieren und zu demonstrieren, deren Prüfung erlaubt ist.