Investigadores de seguridad han descubierto un fallo en macOS que permite a un programa malicioso sustituir de forma silenciosa el ejecutable principal de una aplicación previamente instalada y procedente de internet, sin necesidad de contraseña ni privilegios de administrador. El agujero afecta a versiones de macOS Tahoe 26.0.0 a 26.5.2 y a las betas Golden Gate 27, aunque versiones anteriores probablemente también son vulnerables.
La técnica consiste en archivar el paquete de la aplicación (.app) con tar, eliminar el original y volver a extraerlo en /Applications. Tras ese proceso, los recursos del paquete conservan su firma de código válida y macOS permite ejecutar el ejecutable aunque haya sido reemplazado por uno firmado ad hoc. La sustitución solo funciona con aplicaciones descargadas de la web (no de la App Store) y que ya se hayan abierto al menos una vez.
Los investigadores emplearon Signal como ejemplo para la prueba de concepto y citaron como igualmente afectadas a Brave, Cursor, Mullvad Browser, Proton Mail, Slack, Visual Studio Code y Xcode, entre otras. La aplicación modificada sigue lanzándose sin avisos de Gatekeeper, y los prompts de permiso del sistema muestran el nombre y el icono de la app original al solicitar acceso a elementos del Llavero y a carpetas protegidas por TCC, como ~/Desktop y ~/Documents.
Apple examinó el informe, archivado por el investigador Stefan Schiller, y decidió no publicar una solución. La compañía no ha emitido comentarios públicos sobre sus razones.