Una vulnerabilidad de día cero ha sido descubierta en la última versión de Parallels Desktop para macOS, permitiendo a los atacantes obtener acceso root sin autorización. Este fallo es una omisión de parche de un error anterior y afecta a un script que Parallels usa para reempaquetar aplicaciones de instalación de macOS. Aunque aún no tiene una clasificación oficial de severidad, la vulnerabilidad representa un riesgo significativo para los 7 millones de usuarios que utilizan este software para ejecutar sistemas operativos como Windows y Linux en Mac.
El investigador Mickey Jin reportó la vulnerabilidad a Parallels en julio de 2024, pero tras siete meses sin respuesta, decidió publicar sus hallazgos el 20 de febrero de 2025. El exploit se basa en una falla en el mecanismo de verificación de una utilidad de Apple, lo que permite evadir la seguridad mediante un ataque TOCTOU o inyectando una biblioteca maliciosa. Aunque Parallels ha prometido una revisión interna para mejorar su respuesta ante vulnerabilidades, hasta el 24 de febrero, la empresa aún no ha publicado un parche.
Mientras se espera una solución, los expertos en ciberseguridad recomiendan aplicar medidas de mitigación, como limitar privilegios administrativos, restringir la red donde se ejecuta Parallels y utilizar herramientas EDR/XDR para monitorear actividades sospechosas. Además, esta vulnerabilidad afecta principalmente a Mac con procesadores Intel, descontinuados en 2021, lo que reduce el impacto en usuarios con hardware más reciente. Sin embargo, sigue siendo crucial que Parallels implemente una solución cuanto antes para proteger a sus clientes.
