Alerta Crítico: Vulnerabilidade no macOS Permite Fuga da Sandbox e Acesso Total ao Sistema

A vulnerabilidade CVE-2026-20628 expõe uma falha engenhosa no subsistema de segurança do macOS. O problema central reside na forma como processos em sandbox podem manipular atributos de criação de subprocessos, especificamente via a API posix_spawnattr_setmacpolicyinfo_np. Um processo malicioso, mesmo restrito pela sandbox, conseguia gerar um processo filho e atribuir a ele um perfil de segurança embutido menos restritivo, como o "no-network".

Este perfil, embora pareça benigno, concede acesso crucial ao diretório home do usuário. Com essa permissão, um atacante pode alterar arquivos de configuração do shell e, em seguida, invocar o aplicativo Terminal. Essa sequência de passos efetivamente rompe as barreiras da sandbox, permitindo a execução de código arbitrário e o controle total do sistema, transformando uma limitação aparente em um vetor de ataque completo. A correção da Apple agora impede que processos já em sandbox definam perfis embutidos para filhos, a menos que possuam um entitlement específico, o com.apple.private.security.sandbox-spawnattrs.

A versão 26.3 do macOS, que trouxe a correção para o CVE-2026-20628, demonstra um padrão de atualizações de segurança abrangentes por parte da Apple. Nossa cobertura em 20 de março de 2026, com a notícia "Ataque Severo e Internacional ao iPhone é a Razão Crucial para Atualizar Imediatamente ao iOS 26.3", já indicava a liberação do iOS 26.3 para endereçar outras explorações críticas, incluindo um escape de sandbox WebContent. Isso sugere que a versão 26.3 não foi apenas uma resposta pontual, mas parte de um esforço coordenado para fortalecer as defesas de segurança em todo o ecossistema Apple, cobrindo múltiplas falhas de escape de sandbox.

Esta vulnerabilidade ressalta a complexidade e a criticidade das arquiteturas de sandbox em sistemas operacionais modernos. Mesmo com camadas robustas de segurança, uma falha na manipulação de perfis ou permissões internas pode ser explorada para conceder acesso total. Para usuários e empresas, a exploração do diretório home significa que dados sensíveis, chaves de acesso e configurações podem ser comprometidos, abrindo caminho para roubo de informações e ataques de ransomware. A rápida correção da Apple reforça a necessidade de manter sistemas sempre atualizados, pois a janela de exposição a tais ameaças é real e pode ser curta.