Falha Crítica no Parallels Desktop Concede Acesso Root em Macs

A vulnerabilidade CVE-2026-90894, descoberta no Parallels Desktop, expôs usuários de macOS a um risco de escalada de privilégios locais (LPE) para root. O ataque explorava o daemon prl_disp_service, que roda com privilégios de root e é fundamental para as operações do Parallels. Este daemon expunha um socket Unix globalmente gravável em /var/run/prl_disp_service.socket. Isso permitia que qualquer processo local, mesmo sem privilégios, se conectasse e se autenticasse usando credenciais de pares do kernel, sem a devida validação de Team ID.

A falha central residia na forma como o instalador de appliance do Parallels construía o comando tar para descompactar arquivos. Ao manipular o parâmetro sVmParentPath com uma injeção de citação, um invasor podia inserir a opção --use-compress-program no comando tar. Essa opção permitia a execução de um script arbitrário, fornecido pelo atacante, com os mesmos privilégios do tar, que neste contexto rodava como root. O resultado era um acesso root irrestrito no sistema Mac hospedeiro.

A Parallels agiu rapidamente para corrigir esta séria vulnerabilidade. A empresa lançou a versão 27.0.0 do Parallels Desktop em 1º de setembro de 2026, que contém a correção para a CVE-2026-90894. Antes dessa data, as versões afetadas do software expunham os usuários ao risco descrito. Agora, existe uma versão segura disponível, eliminando a brecha.

Essa falha é especialmente crítica para ambientes de desenvolvimento e corporativos, onde o Parallels Desktop é amplamente utilizado em Macs. Um ataque bem-sucedido não exigia privilégios administrativos iniciais, facilitando a vida de um invasor que já tivesse algum acesso local. O CEVIU tem noticiado uma série de vulnerabilidades de escalada de privilégios no macOS. Por exemplo, em julho de 2026, cobrimos falhas graves no Claude Cowork, que permitiam a fuga de máquinas virtuais e acesso root ao host.

Em agosto de 2026, destacamos uma falha no serviço de compartilhamento de tela do macOS que também concedia acesso root. A recorrência de falhas LPE no ecossistema Mac, seja no sistema operacional ou em softwares populares de virtualização, reforça a necessidade de auditorias de segurança rigorosas e atualizações constantes para proteger dados e sistemas críticos.