Lỗ hổng Parallels Desktop cho phép người dùng Mac thường nâng quyền root
"JFrog reported a local privilege escalation flaw in Parallels Desktop for Mac, tracked as CVE-2026-90894, that can let a non-admin local user execute code as root on the host Mac. The issue stems from a world-writable dispatcher socket and unsafe command construction during appliance extraction; JFrog says the fix is in Parallels Desktop 27.0.0/27.0.1, but Intel Macs cannot install version 27 and remain on the 26.x line without this change."
Ảnh hưởng cao vì cho phép nâng quyền lên root trên máy chủ Mac; điều kiện khai thác là có mã cục bộ nhưng vẫn có thể dẫn tới chiếm quyền hệ thống.
Có thể tác động đến máy trạm phát triển và môi trường lab dùng Parallels; các hệ thống Intel Mac có nguy cơ kéo dài do không nhận bản sửa 27.x.
JFrog cho biết đã phát hiện lỗ hổng leo thang đặc quyền cục bộ trong Parallels Desktop for Mac, được gán mã CVE-2026-90894. Lỗi này có thể cho phép một tài khoản local không phải quản trị thực thi mã với quyền root trên máy Mac chủ. Khai thác yêu cầu đã có mã chạy trên máy dưới quyền người dùng thường, nên không thể tấn công từ xa.
Theo phân tích, nguyên nhân nằm ở dispatcher socket có quyền ghi cho mọi người dùng và cách xây dựng lệnh giải nén không an toàn khi cài appliance máy ảo. JFrog cho biết bản sửa đã có trong Parallels Desktop 27.0.0/27.0.1, nhưng Mac Intel không cài được nhánh 27 và vẫn ở 26.x, nơi chưa có thay đổi này.
Khuyến nghị: kiểm tra phiên bản đang dùng, ưu tiên nâng cấp lên 27.0.1 nếu thiết bị hỗ trợ Apple silicon, và hạn chế chạy mã không tin cậy trên máy có cài Parallels Desktop. Với hệ thống Intel, cần theo dõi hướng dẫn từ nhà cung cấp và áp dụng biện pháp giảm thiểu rủi ro cho đến khi có bản vá tương ứng.