Sicherheitsforscher von JFrog haben eine kritische Rechteausweitungslücke in Parallels Desktop offengelegt, die als CVE-2026-90894 registriert ist und unter dem Namen „ParaShells“ kursiert. Die Schwachstelle erlaubt es unprivilegierten lokalen Nutzern auf Mac-Systemen, sich Root-Rechte zu verschaffen.
Laut einem Bericht von jfrog.com vom 15.09.2026 können Intel-basierte Macs den notwendigen Sicherheitspatch derzeit nicht installieren, da der Fix ausschließlich für Apple-Silicon-Systeme verfügbar ist.
Technischer Hintergrund der Lücke
Betroffen ist Parallels Desktop 26.4.0 (Build 57513) auf Apple Silicon. Der Root-Daemon prl_disp_service lauscht dabei auf dem Socket /var/run/prl_disp_service.socket mit dem Zugriffsmodus 0777, was weitreichende Berechtigungen für lokale Prozesse eröffnet.
Verschärft wird das Problem dadurch, dass die Funktion PrlSrv_LoginLocal unsignierte Clients akzeptiert: Zwar findet eine Peercred-Prüfung statt, eine Überprüfung der Team-ID unterbleibt jedoch. Damit ist weder ein signierter Parallels-Client noch ein Administratorkonto erforderlich, um die Lücke auszunutzen.
Die eigentliche Ausnutzung erfolgt laut JFrog über eine Argument-Injection in den Befehl tar -xf „%1“ -C „%2“ mittels der Option –use-compress-program. Eine laufende virtuelle Maschine ist für den Angriff nicht notwendig. Der von den Forschern veröffentlichte Proof-of-Concept schreibt eine NOPASSWD-Regel in das Verzeichnis /etc/sudoers.d und liefert dem Angreifer im Anschluss eine Root-Shell.
Einschätzung der Forscher
JFrog-Forscher Yuval Moravchick erklärte laut einem Bericht von helpnetsecurity.com vom 16.09.2026, dass ein Root-Zugriff den Austausch von Systemsoftware, uneingeschränkten Datenzugriff sowie eine dauerhafte Verankerung über launchd ermögliche.
Wer sich mit der Sicherheit seines Apple-Systems befasst, sollte die grundlegenden Einstellungen für einen optimalen Schutz genau kennen. Dieser kostenlose Ratgeber enthüllt die wichtigsten Konfigurationen, die kaum ein Nutzer beim Start seines Geräts berücksichtigt. Was Apple-Experten jedem Mac-Einsteiger als Erstes empfehlen
Besonders gefährdet seien demnach Entwickler-Laptops, auf denen Tools wie Homebrew oder npm im Einsatz sind, sowie gemeinsam genutzte Macs an Universitäten und in Unternehmen. Der Angriff via Ein-Zeilen-PoC richte sich laut einem Bericht von zerohour.day vom 16.09.2026 vor allem gegen Entwickler-Workstations, geteilte Trainingssysteme und Enterprise-Macs.
Die Schwachstelle wurde laut deafnews.it in einem Bericht vom 16.09.2026 mit einem CVSS-Score von 7,8 bewertet (Vektor AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H). Bislang sind laut zerohour.day keine Angriffe in freier Wildbahn bekannt, die Lücke ist auch nicht in der CISA-KEV-Liste geführt.
Neben Sicherheits-Updates spielt die effiziente Bedienung des Systems eine zentrale Rolle für ein reibungsloses Nutzererlebnis am Mac. Ein Apple-Experte mit 20 Jahren Erfahrung hat die 19 nützlichsten Shortcuts zusammengestellt, die Ihnen das lästige Suchen in Menüs ersparen und Ihren Arbeitsalltag spürbar erleichtern. Kostenlosen PDF-Sonderreport mit den besten Mac-Shortcuts anfordern
Patch-Lage und offene Fragen für Intel-Nutzer
Betroffen sind alle Versionen vor 27.0.0, in der der Fix laut thehackernews.com enthalten ist. Parallels hatte demnach Version 27.0.0 bereits am 25.08.2026 veröffentlicht, gefolgt von 27.0.1 (Build 58670) am 01.09.2026. JFrog dokumentierte den Fix in einem eigenen Update vom 01.09.2026.
Problematisch bleibt die Situation für Nutzer älterer Intel-Hardware: Da Version 27 laut thehackernews.com Apple Silicon sowie mindestens macOS Sonoma 14.7 voraussetzt, können Intel-Macs nicht auf die gepatchte Version aktualisieren.
Die Versionsreihe 26.x – einschließlich 26.4.2 (Build 57518) vom 08.09.2026 – bleibt laut JFrog auf Intel-Systemen ohne Sicherheitsupdate. Für Betreiber solcher Systeme besteht damit ein andauerndes Risiko, bis Parallels eine gesonderte Lösung für die ältere Architektur bereitstellt.
