Eine gravierende Sicherheitslücke in Parallels Desktop für macOS ermöglicht es lokalen Nutzern und Prozessen mit Standardrechten, ohne Passwort vollständige Root-Rechte auf dem Host-System zu übernehmen. Die als CVE-2026-90894 ("ParaShells") registrierte Schwachstelle wurde von Sicherheitsforschern bei JFrog Security analysiert und dokumentiert.
Ursache ist die unzureichende Berechtigungsprüfung in den Hintergrunddiensten von Parallels (`prl_disp_service`), die mit Root-Rechten laufen, um Hardware-Virtualisierung und Netzwerkkonfigurationen bereitzustellen. Über interne IPC-Nachrichten können lokale Prozesse dem Dienst beliebige Shell-Skripte übergeben, die anschließend als Root ausgeführt werden – ohne Authentifizierung über Touch ID oder Systemdialoge.
Schutzmaßnahmen für Administratoren
- Parallels Desktop sofort aktualisieren: Installieren Sie die neueste Version direkt über die Update-Funktion des Programms.
- Entwickler-Pipelines absichern: Achten Sie auf verdächtige Installationsskripte in Paketmanagern wie npm oder Homebrew auf Rechnern mit Parallels.
- Logfiles überprüfen: Analysieren Sie verdächtige Aufrufe von `prl_disp_service` im macOS Unified Logging System.