Mac-sårbarhet kan slå av sikkerhetsverktøy

Hva skjedde

Cult of Mac skriver at sikkerhetsforskere har funnet en macOS-sårbarhet som kan la hackere slå av sikkerhetsverktøy på Mac uten passord og med svært få spor. Saken gjelder angripere som allerede har tilgang til maskinen. Det betyr at feilen, slik den er beskrevet i sammendraget, ikke nødvendigvis er en fjernangrepsvei inn i Mac-en, men en måte å svekke forsvaret etter at en angriper først er inne.

Foto: Marcin Nowak / Unsplash

Hva det betyr

For privatbrukere er dette alvorlig, men mest indirekte: hvis skadevare allerede kjører på maskinen, kan den potensielt gjøre det vanskeligere for sikkerhetsprogrammer å oppdage og stoppe videre aktivitet.

For bedrifter er dette mer akutt. Mange Mac-miljøer er avhengige av EDR-verktøy, MDM-profiler og sentral logging for å oppdage kompromitterte maskiner. Hvis et verktøy kan deaktiveres uten vanlig godkjenning, blir selve overvåkningen en del av angrepsflaten.

Det mangler viktige fakta i kildematerialet vi har her: hvilke macOS-versjoner som er berørt, om Apple allerede har rettet feilen, om det finnes CVE-nummer, og hvilke sikkerhetsprodukter som kan rammes. Derfor bør man ikke konkludere med at «alle Mac-er er åpne». Men man bør heller ikke vente med å stramme inn grunnleggende drift.

Min vurdering

Dette er en god påminnelse om at Mac-sikkerhet i 2026 ikke kan reduseres til «Mac får ikke virus». Den tiden er over, særlig i arbeidslivet. En moderne Mac er ofte koblet til iCloud, passordnøkler, BankID-hverdag, Slack/Teams, GitHub, interne systemer og tofaktorapper. Hvis en angriper får fotfeste, er spørsmålet hvor raskt organisasjonen oppdager avviket — og om verktøyene som skulle varsle faktisk fortsatt kjører.

Jeg ville spesielt sett på dette i norske miljøer med blandet enhetspark: byråer, utviklermiljøer, skoler, kommuner og mindre selskaper der Mac-er ofte får litt friere tøyler enn Windows-PC-er. Det er forståelig, men frihet uten etterprøvbar drift blir fort en blind flekk.

Den praktiske konklusjonen er enkel: sikkerhetsverktøy må overvåkes utenfra, ikke bare fra maskinen de beskytter. Hvis en Mac plutselig slutter å rapportere inn, må det være et varsel i seg selv.

Slik gjør du det

• Kartlegg hvilke Mac-er som er administrert, hvilke som har sikkerhetsagent installert, og hvilke som faktisk rapporterer inn nå.
• Sett opp varsel dersom EDR-, antivirus- eller MDM-agent slutter å rapportere fra en Mac. Ikke vent til brukeren melder fra.
• Sørg for at macOS-oppdateringer installeres raskt når Apple eventuelt kommer med rettelse. Kildene her sier ikke om en patch allerede finnes.
• Begrens lokale administratorrettigheter der det er praktisk mulig, særlig på maskiner som brukes til økonomi, utvikling eller tilgang til interne systemer.
• Se etter avvik: maskiner som mangler logger, har stoppet sikkerhetsagent, eller plutselig ikke følger policy.
• For privatbrukere: oppdater macOS, fjern ukjente apper/profiler og ikke ignorer varsler om at sikkerhets- eller administrasjonsprogrammer er deaktivert.

Hva du bør gjøre

• IT-ansvarlige bør sjekke status på sikkerhetsagenter i dag, ikke bare anta at de kjører.
• Privatbrukere bør installere siste macOS-oppdatering og være ekstra skeptiske til ukjente profiler og systemutvidelser.
• Bedrifter bør definere «agent sluttet å rapportere» som en sikkerhetshendelse.
• Vent med bastante konklusjoner om omfang til berørte macOS-versjoner og eventuell Apple-fiks er bekreftet.
• Dokumenter hvilke Mac-er som har lokale adminbrukere, og hvorfor.

Kilder

• Cult of Mac