CVE-2026-18367: Kritische Rechteausweitung in Sophos Endpoint für macOS und Sophos Home

Kurzfassung

CVE-2026-18367 ist eine kritische Schwachstelle in Sophos Endpoint for macOS und Sophos Home for macOS. Ein lokaler Nutzer kann darüber Code mit Root-Rechten ausführen. Betroffen sind laut Quelle Versionen vor Sophos Endpoint for macOS 2026.1.1 und vor Sophos Home for macOS 10.11.6.

Für Unternehmen mit macOS-Flotten ist das kein Randthema. Wer die betroffenen Produkte einsetzt, sollte den Patchstand sofort prüfen und alte Versionen aus dem Bestand ziehen. Für Privatnutzer ist das nur relevant, wenn genau Sophos Home auf einem älteren macOS-System läuft.

Was ist passiert?

Die Schwachstelle ermöglicht eine Rechteausweitung auf dem lokalen System. Ein Angreifer mit bereits vorhandenem Zugriff kann sich auf Root-Ebene hochziehen und damit weit mehr ausrichten als ein normaler Benutzer. Das ist der eigentliche Hebel: Aus einem lokalen Fuß in der Tür wird volle Kontrolle.

Die NVD stuft den Fehler als kritisch ein. Mehr Details zum Angriffsweg nennt die Quelle nicht. Ob dafür Interaktion des Nutzers nötig ist oder ob ein normaler Low-Privileged-Account ausreicht, bleibt offen.

Technische Details

Nach der derzeit vorliegenden Beschreibung steckt das Problem in der Art, wie die betroffenen Sophos-Produkte lokale Rechte behandeln. Das Ergebnis ist klar: Codeausführung als root. Damit sind Manipulationen an Systemdateien, Sicherheitsfunktionen und installierten Diensten möglich.

Bekannt sind die betroffenen Mindestversionen: Sophos Endpoint for macOS älter als 2026.1.1 und Sophos Home für macOS älter als 10.11.6. Ob andere macOS-Sicherheitsprodukte von Sophos ähnlich reagieren oder ob nur diese beiden Linien betroffen sind, lässt die Quelle offen.

Wer ist betroffen?

Direkt betroffen sind Systeme mit Sophos Endpoint for macOS in einer Version vor 2026.1.1 sowie Sophos Home für macOS vor 10.11.6. Das betrifft im DACH-Raum vor allem Firmen mit Mac-Arbeitsplätzen, die Sophos zentral ausrollen, und kleinere Umgebungen, in denen Sophos Home noch aktiv genutzt wird.

Wer keine Sophos-Installation auf macOS betreibt, ist von dieser Schwachstelle nicht betroffen. Für reine Windows- oder Linux-Umgebungen spielt CVE-2026-18367 nach der aktuellen Quellenlage keine Rolle.

Empfohlene Maßnahmen

Erste Priorität hat die Bestandsaufnahme. Prüfen Sie, ob Sophos Endpoint for macOS oder Sophos Home auf verwalteten oder privaten Macs läuft und welche Version installiert ist. Dann direkt auf die gefixten Releases 2026.1.1 beziehungsweise 10.11.6 aktualisieren.

In Unternehmensumgebungen gehört der Rollout in den normalen Patchprozess, sollte aber vorgezogen werden, wenn macOS-Geräte externen Nutzern, Entwicklern oder Admins mit erweiterten Rechten gehören. Solche Geräte sind oft besonders wertvoll und werden in der Praxis häufiger zum Sprungbrett. Danach die Update-Compliance kontrollieren und nicht nur den Rollout anstoßen.

Admins sollten außerdem lokale Admin-Rechte auf Macs kritisch prüfen. Die Schwachstelle verlangt zwar lokalen Zugriff, doch unnötige Rechte erleichtern den Missbrauch. Wer die Härtung ernst nimmt, reduziert solche Angriffsflächen gleich mit.

Einschätzung von CyberSecurity-News.de

Die Lücke ist ernst. Eine lokale Rechteausweitung bis Root ist auf macOS immer relevant, besonders wenn Endpoint-Schutzsoftware selbst betroffen ist. Genau dort erwartet man Stabilität und Schutz, nicht eine Eskalationsmöglichkeit im Kern der Sicherheitskette.

Weniger überzeugend ist die dünne Informationslage in der Quelle. Mehr als die betroffenen Versionen und der Schweregrad liegt derzeit nicht auf dem Tisch. Das reicht für eine klare Handlungsanweisung, aber nicht für große Worte. Wer jetzt Alarm schlägt, ohne den Einsatzkontext zu kennen, überzieht.

Für DACH-Unternehmen mit verwalteten Macs bleibt die Lage trotzdem eindeutig: Patchen, prüfen, nachziehen. Das ist kein Thema für die Warteliste.

Fazit

CVE-2026-18367 erlaubt auf betroffenen macOS-Systemen eine Eskalation bis Root. Wer Sophos Endpoint for macOS oder Sophos Home noch in einer alten Version betreibt, sollte umgehend aktualisieren.

Für die meisten Leser ist die Lage nur dann akut, wenn genau diese Produkte im Einsatz sind. Dann aber zählt Tempo. Lokale Schwachstellen werden gern unterschätzt, bis sie in einem echten Vorfall landen.