Falha Crítica no macOS Permite Substituição Silenciosa de Executáveis de Aplicativos Confiáveis

Esta vulnerabilidade no macOS, que permite a substituição silenciosa de executáveis de aplicativos confiáveis, escancara uma falha na premissa de segurança do sistema. Pesquisadores demonstraram que, após um aplicativo da web ser iniciado uma vez, um atacante com execução de código pode deletar o pacote original, arquivá-lo, modificá-lo e reextraí-lo no mesmo local. O macOS falha em sinalizar a alteração, permitindo que o executável malicioso opere sob a identidade do aplicativo legítimo.

Isso é particularmente alarmante porque, embora não ignore diretamente o Gatekeeper ou o TCC, como a Apple defende, explora a confiança do usuário. Prompts de permissão para acesso ao Keychain ou pastas como Desktop e Documentos aparecem com o nome e ícone do app original, levando o usuário a crer que está concedendo acesso ao software que confia. Casos anteriores, como a manipulação de TCC por malware AppleScript (reportado em 23 de julho de 2026), e falhas de sandboxing como a CVE-2026-20628 (destacada em 31 de julho de 2026), já mostravam a fragilidade na proteção de dados sensíveis e na execução de código no macOS, criando um cenário propício para ataques que se baseiam na engenharia social e na exploração da identidade de aplicativos confiáveis.

A decisão da Apple de não classificar esta brecha como uma falha de segurança séria é um sinal preocupante para usuários e empresas. Ela transfere o ônus da vigilância para o usuário, que precisa discernir a legitimidade de um prompt de permissão visualmente idêntico ao original. Para organizações, a gestão de ativos macOS e a proteção de dados corporativos tornam-se mais complexas, exigindo maior atenção à segurança de aplicativos baixados da web e à educação dos funcionários sobre possíveis ataques de engenharia social. A vulnerabilidade expõe informações críticas armazenadas no Keychain e documentos confidenciais.