macOS XPC açığı, kurumsal Mac güvenliği tarafında yeni bir tartışma başlattı. Güvenlik firması XM Cyber, standart kullanıcı hesabına sahip bir saldırganın bazı kurumsal güvenlik araçlarını yönetici parolası olmadan devre dışı bırakabileceğini gösterdi. Araştırmacılar bu tekniği CrowdStrike Falcon ve Kandji gibi ürünler üzerinde test etti. Bulgular, Ağustos ayında düzenlenecek Black Hat Arsenal etkinliği öncesinde paylaşıldı.
Bu araştırma, doğrudan internet üzerinden çalışan klasik bir saldırı yöntemi değil. Saldırganın önce hedef Mac üzerinde standart bir kullanıcı hesabına erişmesi gerekiyor. Bu detay riski sınırlıyor gibi görünse de, kurumsal ortamlar için önemini azaltmıyor. Çünkü bir saldırgan cihazda ilk erişimi elde ettikten sonra genellikle izleme araçlarını susturmak ister. EDR, MDM ve güvenlik ajanları devre dışı kalırsa, saldırının sonraki aşamalarını fark etmek zorlaşabilir.
macOS XPC Açığı Neden Önemli?
macOS, kurumsal dünyada artık eskiye göre daha yaygın kullanılıyor. Yazılım ekipleri, tasarım departmanları, yönetici kadroları ve uzaktan çalışan ekipler Mac cihazları yoğun şekilde tercih ediyor. Bu cihazlar şirket ağına, bulut servislerine, kaynak kod depolarına, kimlik yönetim sistemlerine ve hassas iş verilerine erişebiliyor. Bu nedenle Mac güvenliği artık yalnızca bireysel kullanıcı meselesi değil.
XM Cyber’ın araştırmasını önemli yapan nokta, saldırının yönetici yetkisi gerektirmemesi. Normal şartlarda bir güvenlik aracını kaldırmak veya devre dışı bırakmak için yönetici parolası, özel kaldırma anahtarı ya da MDM politikası gerekir. Araştırmada ise standart kullanıcı hesabıyla bazı ayrıcalıklı işlemlerin tetiklenebildiği gösterildi.
Bu tablo, Mac güvenlik mimarisindeki güven sınırlarını yeniden tartışmaya açıyor. macOS üzerinde birçok güvenlik ve yönetim aracı, kullanıcı arayüzü ile arka plan servislerini ayrı tutar. Kullanıcıya görünen uygulama düşük yetkili çalışırken, arka plandaki servis daha yüksek yetkilerle işlem yapabilir. Bu yapı doğru doğrulama yapılmadığında saldırı yüzeyi oluşturabilir.
Araştırmacıların hedef aldığı nokta da burada bulunuyor. Sorun, macOS’in XPC iletişim kanallarında ve bazı uygulamaların bu kanalları kullanma biçiminde ortaya çıkıyor. Yani mesele yalnızca tek bir güvenlik ürününün hatası değil. Üçüncü taraf macOS uygulamalarında ayrıcalıklı servis çağrılarının nasıl doğrulandığı daha geniş bir güvenlik başlığı haline geliyor.
XPC Nedir ve Güvenlik Araçları Neden Kullanıyor?
XPC, Apple’ın uygulamalar ve arka plan servisleri arasında iletişim kurmak için sunduğu bir çerçevedir. macOS uygulamaları, bazı işlemleri doğrudan kullanıcı tarafında yapmak yerine XPC servisleri üzerinden arka plana devredebilir. Bu yapı hem performans hem güvenlik hem de yetki ayrımı açısından kullanışlıdır.
Örneğin bir güvenlik aracı, kullanıcı arayüzünü normal yetkilerle çalıştırabilir. Ancak tehdit algılama, sistem izleme, ağ kontrolü veya kaldırma koruması gibi görevler daha ayrıcalıklı bir servis tarafından yürütülebilir. Kullanıcı uygulaması bu servise istek gönderir. Servis de isteğin güvenilir bir bileşenden gelip gelmediğini doğruladıktan sonra işlem yapar.
Sorun, bu doğrulama zayıf kurulduğunda başlar. Bazı uygulamalar, isteği gönderen tarafın gerçekten beklenen uygulama olup olmadığını anlamak için kod imzalama bilgisine fazla güvenir. Kod imzalama önemli bir güvenlik katmanıdır. Ancak tek başına yeterli olmayabilir. Özellikle güven ilişkisi önbelleğe alınmışsa veya uygulama bileşenleri beklenenden farklı şekilde değiştirilebiliyorsa, ayrıcalıklı servis yanlış bir isteği güvenilir sanabilir.
XM Cyber’ın araştırması, bu noktada geliştiricilere net bir uyarı veriyor. XPC servisleri, kritik işlemler için yalnızca yüzeysel kod imzası kontrolüne güvenmemeli. Çağrıyı yapan bileşenin kimliği, işlem bağlamı, yetki seviyesi ve beklenen davranışı daha güçlü şekilde doğrulanmalı.
CrowdStrike Falcon ve Kandji Gösterimleri Ne Anlama Geliyor?
XM Cyber, araştırmada CrowdStrike Falcon sensörünün standart kullanıcı hesabı üzerinden devre dışı bırakılabildiğini bildirdi. Bu gösterimde güvenlik sensörünün izleme, süreç takibi ve ağ görünürlüğü gibi kritik işlevlerinin etkilenebildiği aktarıldı. CrowdStrike’ın daha sonra desteklenen macOS sensör sürümlerinde tespit ve önleme mekanizmaları eklediği haber kaynaklarına yansıdı.
Kandji tarafında ise durum CVE kaydıyla daha somut hale geldi. Kandji Agent üzerindeki sorun CVE-2026-39118 olarak takip ediliyor. Açık, yerel saldırganın istemci doğrulama eksikliğinden yararlanarak normalde ayrıcalıklı işlemlere ayrılmış bazı işlevleri çağırmasına yol açabiliyor. Kandji’nin bu açığı düzelttiği ve etkilenen sürümler için güncelleme sunduğu bildiriliyor.
Burada önemli bir ayrım var. Bu araştırma, CrowdStrike veya Kandji ürünlerinin genel olarak güvensiz olduğu anlamına gelmez. Güvenlik ürünleri, işletim sisteminin en hassas noktalarıyla çalışır. Bu yüzden saldırganlar için cazip hedeflerdir. Bir saldırgan güvenlik ajanını susturabilirse, sonraki faaliyetlerini daha rahat gizleyebilir.
Ayrıca bu bulgular, diğer macOS güvenlik ve yönetim araçları için de uyarı niteliği taşıyor. Bir ürün XPC üzerinden ayrıcalıklı işlemler yaptırıyor ve çağıran tarafı zayıf doğruluyorsa benzer riskler oluşabilir. Bu nedenle mesele yalnızca iki ürünle sınırlı görülmemeli. Kurumsal Mac yazılımlarının tamamı bu açıdan gözden geçirilmelidir.
Saldırı Neden Kernel İstismarı Gerektirmiyor?
Araştırmanın dikkat çeken taraflarından biri, saldırının kernel istismarı veya Sistem Bütünlüğü Koruması atlatması gerektirmemesi. macOS’te kernel seviyesine inen açıklar genellikle çok daha ağır kabul edilir. Çünkü çekirdek katmanı işletim sisteminin en temel bölümüdür. Ancak bu olayda gösterilen teknik, daha çok uygulama ve servisler arasındaki güven ilişkisini hedefliyor.
Bu durum saldırıyı daha ilginç hale getiriyor. Çünkü saldırgan, işletim sisteminin en derin katmanını kırmaya çalışmıyor. Bunun yerine meşru macOS davranışlarını ve üçüncü taraf uygulamaların güven varsayımlarını kendi lehine kullanıyor. Güvenilir uygulama, ayrıcalıklı servis ve standart kullanıcı hesabı arasındaki ilişki zayıf kurulmuşsa, saldırgan bu boşluktan yararlanabiliyor.
Sistem Bütünlüğü Koruması yani SIP, macOS’in en kritik koruma katmanlarından biridir. Sistem dosyalarının ve bazı çekirdek alanların değişmesini engeller. Ancak SIP her saldırı türünü durdurmak için tasarlanmamıştır. Eğer bir üçüncü taraf uygulama kendi ayrıcalıklı servisine yanlış yetki veriyorsa, SIP doğrudan bu hatayı engellemeyebilir.
Bu yüzden kurumsal güvenlikte yalnızca işletim sistemi korumalarına güvenmek yeterli olmaz. EDR, MDM ve güvenlik ajanlarının kendi iç mimarisi de sağlam olmalıdır. Ayrıcalıklı servisler, gelen her isteği şüpheli kabul etmeli ve gerçekten yetkili bileşenden geldiğini güçlü şekilde kanıtlamalıdır.
XPC Hunter Aracı Ne İçin Geliştirildi?
XM Cyber, araştırma kapsamında XPC Hunter adlı açık kaynaklı bir araç hazırladığını duyurdu. Bu aracın Black Hat Arsenal etkinliğinde tanıtılması planlanıyor. Amaç, macOS uygulamalarındaki XPC güven ilişkilerini analiz etmek ve zayıf doğrulama noktalarını bulmayı kolaylaştırmak.
XPC Hunter, güvenlik araştırmacıları ve geliştiriciler için faydalı olabilir. Çünkü macOS uygulamalarında XPC servisleri çoğu zaman karmaşık bir yapıya sahiptir. Hangi servis hangi işlemi yapıyor, hangi istemciye izin veriyor ve hangi kontrol mekanizmasını kullanıyor sorularını elle analiz etmek zor olabilir. Bu tür araçlar, riskli çağrı zincirlerini daha görünür hale getirebilir.
Buna rağmen açık kaynaklı güvenlik araçlarının iki yönlü etkisi vardır. Savunma ekipleri bu araçlarla ürünlerini test edebilir. Ancak saldırganlar da aynı bilgiden yararlanabilir. Bu nedenle Black Hat sonrası dönemde macOS güvenlik ürünleri ve kurumsal yönetim ajanları üzerinde daha fazla test yapılması beklenebilir.
Kurumsal ekipler için burada en sağlıklı yaklaşım, aracı korkuyla değil, denetim fırsatı olarak görmek olmalıdır. Eğer bir kuruluş kendi geliştirdiği macOS ajanları, yardımcı servisleri veya XPC tabanlı yönetim araçları kullanıyorsa, bu araştırma sonrası mimarisini yeniden değerlendirmelidir. Özellikle ayrıcalıklı işlem yapan servisler öncelikli incelenmelidir.
Kurumsal Mac Filoları İçin Risk Nerede Başlıyor?
Bu araştırmada saldırganın önce standart kullanıcı hesabına erişmesi gerekiyor. Bu erişim kimlik avı, zayıf parola, oturum çerezleri, kötü amaçlı uygulama, uzaktan erişim aracı veya fiziksel erişim yoluyla elde edilebilir. İlk erişim sağlandıktan sonra saldırganın hedefi genellikle görünürlüğü azaltmak olur. Güvenlik ajanını devre dışı bırakmak bu zincirin önemli bir halkasıdır.
Kurumsal Mac filolarında EDR ve MDM ürünleri genellikle son savunma hatları arasında yer alır. EDR tehditleri izler, süreç davranışlarını kaydeder ve anormallikleri raporlar. MDM ise cihaz politikalarını uygular, yazılım kurar, yapılandırma profillerini yönetir ve gerekirse cihazı kilitler. Bu iki katman zayıfladığında saldırganın hareket alanı genişler.
Özellikle uzaktan çalışan ekiplerde bu risk daha belirgin hale gelir. Ofis dışındaki bir Mac cihazı, şirket ağına VPN veya bulut uygulamaları üzerinden bağlanabilir. Güvenlik aracı devre dışı kaldığında kurumun bunu hızlı fark etmesi gerekir. Aksi halde cihaz bir süre kör nokta haline gelebilir.
Bu yüzden kuruluşlar yalnızca güvenlik ajanının kurulu olup olmadığına bakmamalı. Ajanın gerçekten çalışıp çalışmadığı, son ne zaman veri gönderdiği, hangi koruma modüllerinin aktif olduğu ve beklenmedik şekilde durdurulup durdurulmadığı düzenli kontrol edilmelidir.
Satıcıların ve Geliştiricilerin Alması Gereken Dersler
XM Cyber’ın araştırması, macOS yazılım geliştiricileri için önemli bir mimari ders içeriyor. Ayrıcalıklı XPC servisleri, yalnızca kod imzasına veya önceden kurulmuş güven ilişkisine dayanarak kritik işlem yapmamalı. Özellikle güvenlik aracı, yönetim ajanı veya sistem bakım yazılımı geliştiriliyorsa doğrulama katmanı daha sıkı kurulmalıdır.
Geliştiriciler, XPC çağrısını yapan istemciyi birden fazla sinyalle doğrulamalıdır. Kod imzası, takım kimliği, imzalı gereksinimler, işlem yolu, çalışma zamanı özellikleri ve beklenen iletişim modeli birlikte değerlendirilmelidir. Kritik işlemler için ek yetkilendirme, tek kullanımlık token veya daha güçlü işlem bağlamı kontrolü kullanılabilir.
Ayrıca ayrıcalıklı servislerin sunduğu yöntemler minimum yetki ilkesiyle tasarlanmalıdır. Her XPC yöntemi aynı seviyede risk taşımaz. Güvenlik ajanını durdurmak, kaldırma korumasını kapatmak, ağ izlemeyi devre dışı bırakmak veya sistem uzantısını sonlandırmak gibi işlemler en yüksek risk grubunda yer alır. Bu çağrılar sıradan bir istemci isteği gibi ele alınmamalıdır.
Satıcılar için bir diğer önemli konu günlükleme ve alarm üretimidir. Bir güvenlik aracının kendi bileşenleri beklenmedik şekilde devre dışı kalıyorsa bu durum merkezi yönetim panelinde açık alarm üretmelidir. Sessiz başarısızlık, saldırganların en sevdiği senaryolardan biridir.
Mac Kullanıcıları ve BT Ekipleri Ne Yapmalı?
Bireysel Mac kullanıcıları için en temel adım, macOS’i ve yüklü güvenlik yazılımlarını güncel tutmaktır. Bu araştırma doğrudan standart kullanıcı hesabı üzerinden ilerlediği için güçlü parola ve çok faktörlü kimlik doğrulama da önemlidir. Saldırgan ilk erişimi alamazsa, XPC tekniğini kullanma şansı da ciddi şekilde azalır.
Kurumsal ekipler ise daha geniş bir kontrol listesiyle ilerlemeli. CrowdStrike Falcon, Kandji ve benzeri araçların en güncel sürümleri kullanılmalıdır. Satıcı güvenlik duyuruları takip edilmeli ve özellikle macOS ajanları için yayınlanan acil güncellemeler geciktirilmemelidir. MDM panelinde güvenlik ajanının durumu düzenli izlenmelidir.
Ayrıca standart kullanıcı hesaplarına gereksiz yerel ayrıcalık verilmemelidir. Mac cihazlarda kullanıcıların yönetici hesabıyla çalışması hâlâ yaygın bir alışkanlık. Bu araştırma standart kullanıcıyla bile risk oluşabileceğini gösteriyor. Ancak yönetici hesapları saldırgan için çok daha geniş bir alan açar. Bu nedenle günlük kullanım hesapları düşük yetkili kalmalıdır.
BT ekipleri, EDR veya MDM ajanı beklenmedik şekilde durursa bunu olay kabul etmelidir. Cihazın ağ erişimi sınırlanmalı, son oturum hareketleri incelenmeli, güvenlik ajanı yeniden doğrulanmalı ve gerekirse cihaz yeniden kaydedilmelidir. Sadece aracı yeniden başlatmak yeterli olmayabilir.
Apple Tarafındaki Belirsizlik Sürüyor
Haber kaynaklarına göre Apple, araştırma hakkında henüz ayrı bir güvenlik danışma belgesi yayımlamadı. Bu durum, sorunun doğrudan macOS güvenlik korumalarının klasik anlamda atlatılması mı, yoksa üçüncü taraf uygulamaların güven doğrulama biçimi mi olduğu tartışmasını açık bırakıyor. XM Cyber ise tekniğin meşru macOS davranışlarını kötüye kullandığını ve geliştiricilerin XPC doğrulamasını daha sağlam kurması gerektiğini savunuyor.
Bu ayrım pratikte önemlidir. Eğer sorun işletim sistemi seviyesinde ele alınırsa Apple bir güncellemeyle daha geniş bir koruma sağlayabilir. Eğer sorun daha çok üçüncü taraf uygulamaların XPC mimarisinden kaynaklanıyorsa, her satıcının kendi ürününü ayrı ayrı düzeltmesi gerekir. Kandji’nin CVE-2026-39118 için düzeltme yayınlaması, en azından bazı ürünlerde uygulama seviyesinde açık bulunduğunu gösteriyor.
Kurumsal Mac güvenliği için en gerçekçi yaklaşım, Apple’dan gelecek olası rehberliği beklerken satıcı güncellemelerini hızla uygulamaktır. EDR ve MDM ürünleri güncel değilse, işletim sistemi korumaları tek başına yeterli güvence sağlamaz. Özellikle büyük Mac filolarında güvenlik ajanlarının sağlığı ayrı bir izleme metriği olarak ele alınmalıdır.
Black Hat Arsenal sunumu sonrası XPC Hunter’ın yayımlanmasıyla bu konu daha fazla teknik incelemeye açılacak. Bu durum savunma ekipleri için iyi bir test fırsatı sunarken, zayıf yapılandırılmış ürünler için baskıyı artırabilir. macOS tarafında ayrıcalıklı servis doğrulaması, önümüzdeki dönemde güvenlik satıcılarının daha dikkatli ele almak zorunda kalacağı başlıklardan biri olacak.
