No hay administrador, no hay problema: Cómo una cuenta estándar de macOS puede dejar ciego a tu EDR sin que nadie lo note

La suposición de seguridad integrada en la mayoría de los despliegues empresariales de macOS funciona más o menos así: bloquear las credenciales de administrador, exigir la inscripción en MDM, añadir un agente EDR, y el endpoint queda cubierto. Los actores de amenazas primero tienen que escalar privilegios, ¿verdad? Esa suposición acaba de recibir un golpe limpio. El 24 de junio de 2026, investigadores de XM Cyber revelaron una técnica que permite a una cuenta de usuario estándar y completamente normal descargar silenciosamente herramientas de seguridad empresarial sin activar ninguna alerta, sin tocar un exploit del kernel y sin ver nunca un aviso de contraseña.

La Caché de Confianza:

la memoria de macOS que sobrevive a la aplicación

Para entender por qué esto funciona, necesitas un par de palabras sobre cómo macOS decide en qué confiar. Cuando una aplicación con firma legítima se ejecuta, el kernel registra su CDHash, una huella criptográfica del código de la aplicación, en una estructura llamada caché de confianza de firma de código. Según Eduard Kovacs de SecurityWeek, el elemento novedoso de la investigación de XM Cyber es lo que ocurre después de que esa aplicación legítima se cierra: el kernel sigue confiando en ese CDHash. Un atacante puede inyectar un payload malicioso que suplante al componente de la aplicación de confianza después del hecho, y la caché de confianza del kernel no tiene razón para objetar. La aplicación firmada hizo el trabajo pesado; el payload malicioso simplemente entra usando sus credenciales.

Esta es la brecha arquitectónica crítica. La investigación de XM Cyber, tal como la reportan tanto SecurityWeek como Mallory, es explícita en que la técnica abusa del comportamiento legítimo de macOS en lugar de explotar una vulnerabilidad de software discreta. No hay ningún CVE presentado contra el kernel de Apple, porque el kernel está haciendo técnicamente exactamente lo que fue diseñado para hacer. Esa distinción importa enormemente para los defensores, porque no hay ningún parche de Apple que esperar que cierre esta puerta específica.

Cómo funciona la cadena en realidad

La cadena de ataque completa, tal como la describe el resumen de inteligencia de Mallory, enlaza tres primitivas. Primera, conexiones XPC débilmente validadas: el mecanismo de comunicación entre procesos de macOS no siempre verifica rigurosamente que el llamante es quien dice ser. Segunda, inyección de payload malicioso en archivos NIB de Interface Builder, los archivos de definición de interfaz de usuario que las aplicaciones de macOS usan para construir sus interfaces. Ambas primitivas han sido documentadas públicamente durante años y han sido parcialmente abordadas por Apple, según SecurityWeek.

La tercera pieza es la contribución novedosa: explotar la persistencia de la caché de confianza descrita anteriormente para hacer que ese payload inyectado parezca un componente de aplicación de confianza cuando llama a métodos XPC privilegiados. El resultado es que un usuario estándar puede invocar funciones privilegiadas que, por toda intención arquitectónica, deberían requerir autorización de administrador. XM Cyber confirmó que utilizó con éxito este método para descargar silenciosamente o desactivar de forma permanente CrowdStrike Falcon Sensor, Kandji MDM y un tercer producto EDR no identificado, todo sin activar alertas, según el informe de Mallory.

Quién parchó, quién no, y la incómoda pregunta sobre Apple

Kandji actuó con rapidez. La empresa abordó el problema en una versión actualizada del agente y asignó CVE-2026-39118, según Mallory. Falcon Sensor de CrowdStrike y el tercer producto EDR no identificado aún no tienen un estado de parche público confirmado en la evidencia disponible. Apple no ha emitido una corrección para el comportamiento subyacente de la caché de confianza, coherente con el planteamiento de XM Cyber de que esto es un abuso del diseño legítimo del sistema operativo en lugar de un error corregible en el sentido convencional.

Aquí es donde la situación se vuelve interesante desde una perspectiva de seguridad de plataforma. Jai Vijayan de Dark Reading, informando sobre la misma divulgación, señala que la técnica permite a un atacante suplantar componentes de aplicaciones de confianza y realizar acciones privilegiadas de forma silenciosa. Las mitigaciones parciales que Apple ha publicado anteriormente para la validación XPC y la inyección NIB no han cerrado la cadena completa. Los defensores no pueden simplemente esperar a que aparezca un parche de plataforma y dar el trabajo por terminado.

Qué significa esto realmente para ti

Si administras una flota de macOS y confías en la cobertura EDR o MDM como tu capa de detección principal, esta investigación debería motivar una conversación honesta sobre qué garantiza realmente esa cobertura. Un actor de amenazas que obtiene acceso a una cuenta de usuario estándar, ya sea mediante phishing, relleno de credenciales o acceso físico, ahora tiene un camino demostrado para silenciar las herramientas en las que confías para detectarlos.

La guía de escalada de privilegios de Jamf publicada en 2024 sigue siendo un contexto relevante: el principio de que los límites de privilegios en los dispositivos Apple necesitan una aplicación activa en lugar de una suposición pasiva no es nuevo, pero la investigación de XM Cyber le da nuevos y afilados dientes. Los pasos prácticos inmediatos para los equipos empresariales: verificar que estás ejecutando el agente actualizado de Kandji, consultar con tus otros proveedores de EDR sobre el estado de aviso para esta técnica específica, y revisar si tus políticas de validación de conexiones XPC son tan sólidas como podrían ser.

Sigue el blog de XM Cyber para el análisis técnico completo, y observa si la respuesta de Apple implica un aviso de seguridad o una revisión arquitectónica silenciosa en una futura versión de macOS. La diferencia entre esos dos resultados dirá mucho sobre cuán en serio se toma Cupertino el modelo de confianza que construyó.