Kritische OpenVPN-Lücke auf macOS: Angreifer können ROOT-Rechte übernehmen
CVE-2026-9560 (CVSS 9.4) im privilegierten Helper-Dienst von OpenVPN Connect für macOS erlaubt lokale Privilege-Escalation bis ROOT. Betroffen: 3.5.1 – 3.8.1. Patch verfügbar in 3.8.2.
Auf einen Blick
Im offiziellen OpenVPN Connect-Client für macOS wurde mit CVE-2026-9560 (CVSS 9.4) eine kritische Schwachstelle in einer privilegierten Hintergrundkomponente bekannt. Über einen lokalen IPC-Kanal können Angreifer manipulierte Anfragen an den Helper-Dienst senden und Befehle mit erhöhten Rechten ausführen lassen – im Worst Case bis hin zu vollständiger ROOT-Übernahme des Macs. Betroffen sind die Versionen 3.5.1 bis einschließlich 3.8.1. Der Hersteller hat den Bug in OpenVPN Connect 3.8.2 geschlossen.
Schwachstellen-Fakten
CVE
CVE-2026-9560
CVSS
9.4 (Critical)
Komponente
Privileged macOS Helper
Angriff
Local Privilege Escalation via IPC
Betroffen
OpenVPN Connect 3.5.1 – 3.8.1 (macOS)
Fix-Version
OpenVPN Connect 3.8.2
Betroffene Versionen
Nach aktuellen Informationen sind OpenVPN Connect 3.5.1 bis einschließlich 3.8.1 für macOS betroffen. Die Schwachstelle liegt in einer privilegierten Hintergrundkomponente, die für bestimmte Systemfunktionen mit erhöhten Rechten arbeitet.
Verwundbar
3.5.1 … 3.8.1
Sofort patchen – auch Test-, Reserve- und BYOD-Geräte.
Fixed
3.8.2 oder neuer
Laut Hersteller im privilegierten macOS-Helferdienst behoben.
Was ist passiert?
Die Sicherheitslücke betrifft einen lokalen IPC-Kommunikationskanal (Inter-Process Communication) innerhalb von OpenVPN Connect. Ein Angreifer mit Zugriff auf das System kann manipulierte Anfragen an den Hintergrunddienst senden, der diese mit erhöhten Rechten ausführt. Im schlimmsten Fall entsteht daraus eine vollständige Systemübernahme mit ROOT-Rechten.
Besonders kritisch wird die Situation, wenn ein Mac bereits teilweise kontrolliert wird – etwa durch Malware, einen Infostealer oder einen kompromittierten Standardbenutzer. Die OpenVPN-Schwachstelle dient dann als Sprungbrett, um Schutzmechanismen zu umgehen und dauerhaft Administratorrechte zu erlangen.
Warum die Lücke gefährlich ist
Viele Unternehmen nutzen OpenVPN für den Zugriff auf interne Netzwerke, Cloud-Dienste und sensible Anwendungen. Gelingt einem Angreifer die Ausnutzung auf einem Mitarbeiter-Mac, können die Folgen weitreichend sein – besonders im Homeoffice und bei Bring-Your-Own-Device.
Übernahme des Mac-Systems
Vollständige ROOT-Kontrolle über das Endgerät inklusive Persistenz und Sicherheitsmechanismen-Umgehung.
Zugriff auf Unternehmensdaten
Lokal gespeicherte Dokumente, Tokens, Browser-Cookies und Keychain-Geheimnisse werden für Angreifer lesbar.
Manipulation von VPN-Konfigurationen
Angreifer können VPN-Profile, Routing und Split-Tunneling-Einstellungen still verändern und Traffic umleiten.
Installation weiterer Schadsoftware
Mit Root-Rechten lassen sich Loader, Rootkits oder LaunchDaemons dauerhaft im System verankern.
Lateral Movement im Firmennetz
Vom kompromittierten Mac aus werden interne Systeme, Cloud-Konsolen und Kollaborations-Plattformen erreichbar.
Sicherheitsupdate bereits verfügbar
OpenVPN hat reagiert und die Schwachstelle mit OpenVPN Connect 3.8.2 behoben. Laut den offiziellen Release Notes wurde die Lücke im privilegierten macOS-Helferdienst geschlossen. Nutzer sollten das Update schnellstmöglich installieren – idealerweise zentral per MDM.
Was Unternehmen jetzt tun sollten
OpenVPN Connect 3.8.2 ausrollen
Update über MDM (Jamf, Kandji, Intune) priorisiert für alle macOS-Endgeräte erzwingen und Versionsinventur prüfen.
Versionsstand inventarisieren
Per MDM, osquery oder Skript alle Endgeräte mit OpenVPN Connect 3.5.1 – 3.8.1 identifizieren und priorisieren.
Administratorrechte einschränken
Lokale Admin-Accounts reduzieren, Standard-User mit Privilegienverwaltung, Just-in-Time-Admin statt Dauer-Root.
EDR/XDR scharfschalten
Auffällige Privilege-Escalation, Helper-Manipulation und neue LaunchDaemons in der macOS-Telemetrie alarmieren lassen.
VPN-Konfigurationen verifizieren
Profile, Routen und DNS-Einstellungen gegen einen bekannten Soll-Stand vergleichen, Abweichungen forensisch prüfen.
Härtung gegen Folge-Malware
Application-Allowlisting, Gatekeeper, XProtect, signierte LaunchDaemons und regelmäßige macOS-Updates konsequent durchsetzen.
Wasacon-Einschätzung
Die neue OpenVPN-Lücke zeigt erneut, wie gefährlich Schwachstellen in privilegierten Hintergrunddiensten sind. Auch wenn die Ausnutzung lokalen Zugriff voraussetzt, reicht in modernen Angriffsketten 2026 oft ein erster Infostealer- oder Phishing-Befall, um genau diese Voraussetzung zu schaffen. CVE-2026-9560 wird damit zum klassischen Privilege-Escalation-Baustein in Multi-Stage-Angriffen.
Wer 2026 ohne EDR/XDR auf macOS-Endgeräten arbeitet, sieht solche Privilege-Eskalationen schlicht nicht – und merkt sie erst, wenn Daten abgeflossen oder Cloud-Konten übernommen sind. Schutz heißt heute: Patches zentral erzwingen, lokale Adminrechte minimieren, Telemetrie korrelieren, Identitäten härten.
Eine ungepatchte VPN-Software ist 2026 kein technisches Detail – sie ist ein direkter Türöffner ins Firmennetz.
Häufige Fragen
Sind Ihre Mac-Endgeräte gegen CVE-2026-9560 abgesichert?
Wasacon prüft Patch-Stand, Privilegienverwaltung, EDR/XDR-Coverage und VPN-Konfigurationen auf macOS – mit klarer Priorisierung und 24/7-Reaktion auf verdächtige Privilege-Escalations.
Privilege Escalation, VPN- & Endpoint-Lücken weiterdenken
Mehr Hintergrund zu kritischen CVEs, Endpoint-Schwachstellen und Härtung:
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
