Una tecnica di privilege escalation scoperta da XM Cyber consente a un utente standard su macOS di disabilitare strumenti di sicurezza enterprise — EDR e MDM — senza possedere credenziali amministratore. La dimostrazione, resa nota il 24 giugno 2026, colpisce il cuore del modello di trust di macOS: la cache CDHash continua a garantire fiducia a un'applicazione anche dopo che i suoi componenti sono stati alterati. Apple, secondo i ricercatori, ha dichiarato di non voler correggere il difetto sottostante.
- La tecnica sfrutta due meccanismi di macOS: la cache CDHash, che non invalida il trust dopo modifiche ai componenti, e l'injection di codice in file NIB di app legittime.
- XM Cyber ha dimostrato la disabilitazione completa di CrowdStrike Falcon EDR e la disattivazione permanente di Kandji MDM da parte di un utente standard.
- Kandji ha rilasciato una patch (CVE-2026-39118, CVSS 8.4 HIGH); lo stato della correzione per CrowdStrike Falcon non è chiaro al momento dell'articolo.
- Il ricercatore Hillel Pinto rilascerà il tool open source XPC Hunter a Black Hat USA nell'agosto 2026 per consentire la verifica del problema.
Come funziona il bypass: CDHash, NIB e il trust che non si spegne
La catena d'attacco si articola in tre passaggi, tutti eseguibili da un utente con privilegi standard. Il punto di partenza è la cache CDHash di macOS, che memorizza l'impronta crittografica di un'applicazione al primo avvio. Secondo XM Cyber, una volta inserita in cache, l'impronta non viene rivalidata quando i componenti interni dell'app vengono modificati. Il sistema continua a considerare l'applicazione trusted.
Su questa fiducia residua si innesta il secondo elemento: l'injection di codice malevolo all'interno di file NIB (NeXT Interface Builder). Questi file, utilizzati dall'interfaccia di macOS per definire layout e comportamenti delle app, diventano il veicolo per eseguire codice arbitrario nel contesto di un'applicazione legittima. Il codice iniettato eredita il trust della cache CDHash.
Il terzo passaggio sfrutta i servizi XPC (Cross-Process Communication) che girano come root. Molte applicazioni macOS espongono questi servizi per operazioni privilegiate; il codice iniettato, impersonando il componente trusted, può invocarli e ottenere l'esecuzione di funzioni normalmente riservate all'amministratore. Il risultato è un privilege escalation che elude completamente il controllo delle credenziali.
"MacOS applications routinely expose privileged XPC services running as root — yet the trust boundaries protecting these interfaces are fundamentally flawed"
— Hillel Pinto, XM Cyber
La demo su CrowdStrike Falcon: l'EDR che smette di vedere
XM Cyber ha concretizzato la teoria con due dimostrazioni su prodotti enterprise ampiamente diffusi. Nel primo caso, i ricercatori hanno ottenuto lo scaricamento completo del sensore CrowdStrike Falcon, neutralizzando ogni capacità di rilevamento endpoint, visibilità di rete e monitoraggio dei processi. La fonte non specifica se la tecnica richieda condizioni particolari o versioni specifiche del prodotto.
Nel secondo caso, la stessa catena d'attacco ha prodotto la disattivazione permanente di Kandji MDM, strumento di gestione dei dispositivi molto utilizzato nelle aziende con flotte macOS. La differenza tra i due scenari è significativa: mentre Falcon è un EDR progettato per rilevare minacce, Kandji è un agente di gestione che mantiene le policy di sicurezza sul device. La sua compromissione non solo elimina la visibilità, ma annulla il controllo stesso sul dispositivo.
Secondo la fonte, Iru Inc. ha rilasciato una versione aggiornata dell'agent Kandji che protegge contro l'exploit. Il CVE-2026-39118 è stato assegnato alla patch, con un punteggio CVSS 8.4 HIGH nella classificazione CVSS:3.1. Tuttavia, il numero non è verificabile nelle fonti NVD fornite nel dossier, che non contengono alcun riferimento a questo identificatore. Per CrowdStrike Falcon, lo stato della correzione non risulta chiaro al momento della pubblicazione dell'articolo di Dark Reading.
La posizione di Apple e la responsabilità spostata sui vendor
Il caso introduce una frattura nella gestione della sicurezza di macOS. Secondo la dichiarazione attribuita da Hillel Pinto, XM Cyber avrebbe ricevuto risposta da Apple che l'azienda non intende correggere il bug sottostante nel sistema operativo. La fonte non riporta il testo esatto della comunicazione né il canale attraverso cui è avvenuta.
Questa posizione, se confermata nei termini descritti, sposta l'onere della protezione interamente sui vendor di sicurezza e di gestione dei dispositivi. I tool progettati per proteggere l'ecosistema macOS diventano vittime dello stesso meccanismo di trust che dovrebbero ereditare. Pinto ha commentato in modo esplicito: "Se Apple avesse corretto il problema sottostante in macOS, questi prodotti non sarebbero vulnerabili attraverso questo vettore di attacco."
La tecnica non si limita ai due prodotti dimostrati. Secondo la stessa fonte, la combinazione CDHash cache exploitation + NIB injection rappresenta un "generic attack primitive" applicabile a qualsiasi applicazione macOS che esponga servizi XPC privilegiati. Il dossier non quantifica quante app enterprise rientrino in questa categoria.
Perché è importante
La fonte non specifica se la tecnica sia già stata osservata in exploit reali ("in-the-wild"). Il dossier non documenta misure correttive da parte di Apple né intervalli temporali per eventuali interventi futuri. Non emergono sovrapposizioni infrastrutturali che colleghino la ricerca XM Cyber ad altri attori o campagne note.
Il limite più rilevante per le aziende è la mancanza di una soluzione a livello sistema operativo. Finché Apple non modificherà il comportamento della cache CDHash, ogni vendor di sicurezza per macOS deve verificare autonomamente se i propri prodotti utilizzano servizi XPC con verifica CDHash e, in caso affermativo, implementare contromisure specifiche. La fonte non elenca framework o checklist per questa verifica.
Il rilascio previsto di XPC Hunter a Black Hat USA 2026 renderà pubblico lo strumento di verifica, aumentando la probabilità che la tecnica venga replicata. Il dossier non specifica se il tool includerà funzionalità di riparazione o solo di rilevamento.
Domande che restano aperte
La tecnica funziona su tutte le versioni di macOS?
Il dossier non specifica lo scope esatto delle versioni vulnerabili. Non è chiaro se il problema interessi tutte le release macOS con cache CDHash o solo configurazioni specifiche.
CrowdStrike ha rilasciato una patch?
Secondo la fonte, XM Cyber ha notificato CrowdStrike ma lo stato della patch non risulta chiaro al momento dell'articolo. Il dossier non contiene aggiornamenti successivi.
Cosa succede se un'azienda non usa né CrowdStrike né Kandji?
La tecnica è descritta come generica per le app con servizi XPC privilegiati. Il dossier non elenca altri prodotti verificati, quindi la vulnerabilità potrebbe estendersi ad altri vendor senza che questo sia stato dimostrato.
L'episodio solleva una questione architetturale che travalica il singolo advisory: quando il sistema operativo delega la verifica del trust ai suoi meccanismi interni ma non le invalida al cambiamento, l'intero stack di sicurezza enterprise si appoggia su un presupposto fragile. Che Apple confermi o meno la propria posizione, il caso mostra come la linea di difesa tra "proteggere il sistema" e "essere bypassati dal sistema" su macOS sia più sottile di quanto l'industria enterprise assuma.
Le informazioni sono basate sull'advisory citato e aggiornate al momento della pubblicazione.
Fonti
- https://www.darkreading.com/application-security/apple-macos-security-gap-users-disable-security-tools
- https://nvd.nist.gov/vuln/detail/CVE-2025-43529
- https://support.apple.com/en-us/100100
- https://techcrunch.com/2026/06/08/apples-photos-app-is-getting-new-ai-editing-features/
- https://nvd.nist.gov/vuln
- https://nvd.nist.gov/vuln/categories
- https://nvd.nist.gov/vuln/vendor-comments
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.