Der Sicherheitsforscher Auberon López hat einen WebGPU-Compute-Shader namens „Deathray“ veröffentlicht, der gezielt Hardware-Ressourcen von Macs mit Apple-Prozessoren überlastet.
Der in eine HTML-Seite eingebettete Code führt dazu, dass Systeme mit Apple Silicon unter dem Betriebssystem macOS Tahoe beim Aufruf der Webseite vollständig einfrieren. Berichten aus dem September 2026 zufolge lässt sich dieser Effekt in den Browsern Chrome, Firefox und Safari reproduzieren.
Technischer Hintergrund und Wirkungsweise der Sicherheitslücke
Der Wirkmechanismus von „Deathray“ basiert auf einem WebGPU-Compute-Shader, der in einer Endlosschleife operiert und dadurch die GPU-Puffer blockiert. In der Folge gerät ein Vertex-Shader in einen Wartezustand, was den sogenannten WindowServer des Betriebssystems zum Hängen bringt.
Während das Display des betroffenen Macs vollständig einfriert und nicht mehr auf Eingaben reagiert, bleibt die Verbindung über SSH im Hintergrund weiterhin funktionsfähig.
Wer sich mit der Sicherheit seines Apple-Geräts befasst, sollte die wichtigsten Konfigurationen zum Schutz vor Systemfehlern kennen. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie Ihren Mac von Anfang an optimal und sicher einrichten. Apple Mac Starterpaket kostenlos sichern
Nach einer Zeitspanne von rund zwei Minuten löst das System aufgrund der anhaltenden Blockade eine sogenannte Kernel-Panic aus. Dies führt zu einem erzwungenen Neustart durch den Watchdog-Timer (Watchdog-Reboot).
Für Nutzer ergibt sich daraus eine potenzielle Gefahr bei der Wiederherstellung von Browser-Sitzungen: Falls der Browser nach dem Neustart die zuvor geöffnete Webseite mit dem schädlichen Shader automatisch wieder lädt, kann dies die Endlosschleife erneut auslösen und das System in eine Absturzfolge versetzen.
Als Workaround wird empfohlen, beim Neustart die Shift-Taste gedrückt zu halten, um den gesicherten Modus zu aktivieren oder die automatische Tab-Wiederherstellung zu unterbinden.
Plattformspezifische Unterschiede und Schutzmechanismen
Die Auswirkungen des „Deathray“-Shaders variieren stark zwischen verschiedenen Architekturen und Betriebssystemen. Während Apple-Silicon-Modelle (M-Chips) von einem vollständigen Systemstillstand betroffen sind, ist der Effekt auf Intel-basierten Macs deutlich reduziert.
Neben der Systemstabilität spielt die Effizienz im digitalen Alltag eine entscheidende Rolle für ein reibungsloses Nutzererlebnis. Erfahren Sie in diesem kostenlosen Leitfaden, mit welchen Handgriffen Sie Ihren Mac noch schneller und flüssiger bedienen können. Die 19 besten Mac-Shortcuts gratis herunterladen
Auf Systemen mit Windows, Linux oder Android beschränkt sich die Störung in der Regel auf das Einfrieren des betroffenen Browser-Tabs, während das restliche Betriebssystem stabil bleibt.
Technische Analysen führen diese Differenz auf die unterschiedliche Handhabung von Grafikprozessen zurück. Windows-Systeme nutzen einen Mechanismus namens Timeout Detection and Recovery (TDR) mit einem Zeitlimit von zwei Sekunden, um hängende Grafikprozesse abzufangen.
Bei Apple Silicon übernimmt der ASC-Coprozessor die Steuerung, verfügt jedoch offenbar über keine ausreichende Kernel-Preemption, um derartige Endlosschleifen im WebGPU-Kontext effektiv zu unterbrechen.
Einige Browser-Konfigurationen bieten zudem einen natürlichen Schutz: Auf Intel-Macs mit dem Firefox-Browser zeigt der Shader keine Wirkung, da WebGPU dort standardmäßig deaktiviert ist. Auf Android-Geräten wurde beobachtet, dass Firefox unbeeinträchtigt bleibt, während der Browser Vivaldi anfällig für das Einfrieren des Tabs ist.
Kommunikation mit Apple und historische Einordnung
Auberon López hatte die Schwachstelle bereits am 27.07.2026 an Apple gemeldet. Das Unternehmen konnte den Fehler zwar reproduzieren, erklärte jedoch am 26.08.2026, dass aus der Entdeckung keine unmittelbaren Sicherheitsimplikationen hervorgingen. Damit stuft der Hersteller das Problem primär als Stabilitäts- oder Zuverlässigkeitsfehler ein, nicht als kritische Sicherheitslücke, die den Diebstahl von Daten oder die Ausführung von Schadcode ermöglichen würde.
Der Vorfall weist Parallelen zu einer früheren Problematik aus dem Jahr 2023 auf. Damals identifizierte Ron Masas von Imperva mit „ShadyShader“ eine ähnliche Schwachstelle im WebGL-Standard. Dieser Fehler wurde unter der Kennung CVE-2023-40441 dokumentiert und mit einem CVSS-Score von 6,5 bewertet.
Die aktuelle Entdeckung von López unterstreicht, dass die Implementierung moderner Grafik-Schnittstellen in Webbrowsern weiterhin Herausforderungen für die Systemstabilität auf Hardware-Ebene darstellt.
