Root en macOS Recovery Mode vía Safari: CVSS 8.5

Dos vulnerabilidades silenciosas en el corazón de macOS

En abril de 2026, el investigador de seguridad Yaseen Ghanem publicó un hallazgo que sacudió a la comunidad de seguridad Apple: dos vulnerabilidades críticas en el modo de recuperación de macOS que, aprovechando el navegador Safari disponible en ese entorno, permiten a un atacante con acceso físico al equipo obtener persistencia de root y leer archivos sin restricciones. Si manejas una startup con equipos Apple, esto te concierne directamente.

¿Qué es el modo de recuperación de macOS y por qué importa?

El modo de recuperación de macOS es un entorno especial de diagnóstico y restauración al que se accede manteniendo presionado el botón de encendido (en Macs con Apple silicon) o las teclas Command + R (en Intel). Desde allí, el sistema ofrece herramientas como Terminal, Safari, Share Disk y Reinstalar macOS.

El problema es que este entorno, por diseño, otorga acceso como usuario root sin requerir autenticación. Es una decisión pensada para facilitar la recuperación de sistemas, pero que abre una puerta peligrosa cuando no están configuradas las capas de protección adecuadas.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Las dos vulnerabilidades: detalles técnicos

Vulnerabilidad 1 — Escritura arbitraria con persistencia root (CVSS 8.5)

Esta es la más severa. Con una puntuación CVSS de 8.5 (Alta), permite a un atacante con acceso físico al Mac escribir archivos en los volúmenes del sistema montados dentro del modo de recuperación, logrando que esos cambios persistan tras el reinicio normal del equipo.

El vector de ataque es el siguiente:

El atacante inicia el Mac en Recovery Mode.
Desde Recovery, abre Safari (disponible en el menú de utilidades).
Navega a un repositorio externo con comandos preparados.
Copia esos comandos en la Terminal de Recovery, que corre como root.
Monta el disco del sistema en modo de escritura (en rutas como /Volumes/Macintosh HD), eludiendo temporalmente SIP (System Integrity Protection).
Crea un usuario root persistente, modifica contraseñas o instala un backdoor que se mantiene activo tras el reinicio.

El ataque puede completarse en menos de 10 minutos con acceso físico al equipo. No requiere contraseña de usuario ni privilegios previos. Funciona en Macs con Apple silicon (M1, M2, M3 y superiores) y también en entornos gestionados con MDM (Mobile Device Management).

Vulnerabilidad 2 — Lectura sin restricciones de archivos (CVSS 4.6)

La segunda vulnerabilidad, con puntuación CVSS de 4.6 (Media), permite acceder y leer contenido de archivos del sistema y cuentas de usuario sin ningún tipo de autenticación adicional. Aunque el impacto en integridad es menor, la exposición de datos confidenciales —credenciales, claves privadas, documentos internos— representa un riesgo real para cualquier empresa.

En ambos casos, el vector es físico: requiere acceso presencial al equipo. Esto reduce la superficie de ataque remota, pero no elimina el riesgo; especialmente en contextos de robo de dispositivos, acceso no autorizado a oficinas o en equipos compartidos.

SIP no es suficiente: por qué el modo Recovery cambia las reglas

System Integrity Protection (SIP) es uno de los mecanismos de seguridad más importantes de macOS. Impide que incluso procesos con privilegios de root modifiquen áreas críticas del sistema operativo durante el uso normal. Sin embargo, SIP puede deshabilitarse desde el modo de recuperación, que es precisamente el entorno donde estas vulnerabilidades operan.

En Recovery, los discos se montan en ubicaciones no estándar y el sistema no aplica las mismas restricciones que en un arranque normal. Eso convierte al modo de recuperación en un vector de ataque privilegiado si no están activadas capas de protección adicionales como la contraseña de firmware o el cifrado con FileVault.

Impacto real para startups y equipos tech

Para una startup con cinco, diez o cincuenta personas trabajando en Macs, este tipo de vulnerabilidad tiene implicaciones concretas:

Robo de dispositivos: Un Mac robado sin contraseña de firmware puede ser comprometido completamente en minutos, exponiendo credenciales, claves API, código fuente y datos de clientes.
Entornos MDM: La vulnerabilidad de escritura con root persistence puede bypassar controles MDM, comprometiendo equipos que se suponen gestionados y seguros.
Acceso a backups: Desde Recovery es posible acceder a volúmenes de Time Machine, con todo el historial de archivos del usuario.
Cadena de suministro interna: En empresas donde los equipos pasan por múltiples manos (onboarding, IT, soporte), el riesgo de intervención física aumenta.

Respuesta de Apple y estado del parche

Apple fue notificada por Yaseen Ghanem siguiendo un proceso de divulgación responsable. Según la línea de tiempo publicada en su reporte, las versiones afectadas incluyen macOS en equipos con Apple silicon previas a la corrección. Las versiones posteriores al parche mitigan el comportamiento explotado, aunque Apple no ha emitido un comunicado público detallado al momento de esta publicación.

Se recomienda verificar en la página oficial de Apple Security Releases si tu versión de macOS incluye el fix correspondiente, y actualizar de inmediato si no es el caso.

Cómo proteger tu equipo ahora mismo

Mientras llegan actualizaciones o si usas versiones potencialmente afectadas, estas son las medidas concretas que puedes implementar hoy:

Activa FileVault: El cifrado de disco completo protege los datos en reposo. Sin la clave de descifrado, los archivos son ilegibles incluso si alguien monta el volumen desde Recovery.
Configura una contraseña de firmware (o contraseña de chip): En Macs Intel, esto impide arrancar en modos alternativos sin autenticación previa. En Apple silicon, la protección equivalente la gestiona el chip T2/Secure Enclave con la activación de seguridad completa.
Activa el modo de seguridad completo en Apple silicon: Desde Opciones de seguridad en Recovery, asegúrate de tener la seguridad de arranque configurada en Seguridad completa.
Controla el acceso físico: Las políticas de seguridad física son tan importantes como las digitales. Bloquea equipos desatendidos, gestiona el acceso a oficinas y capacita a tu equipo sobre estos riesgos.
Revisa tu política MDM: Si gestionas una flota de Macs con MDM, valida que los perfiles incluyan restricciones de arranque y audita qué equipos pueden entrar en Recovery sin autenticación adicional.
Mantén macOS actualizado: Aplica actualizaciones de seguridad de forma prioritaria, especialmente en equipos que manejan datos sensibles.

Perspectiva más amplia: el mito de la seguridad inherente de Apple

Este hallazgo de Yaseen Ghanem refuerza una verdad incómoda pero necesaria: el acceso físico a un equipo equivale a control total, independientemente del sistema operativo. La narrativa de que los Macs son intrínsecamente más seguros que otras plataformas no debe traducirse en complacencia.

Apple silicon ha traído avances reales en seguridad —el chip T2 y el Secure Enclave son genuinamente robustos— pero no son inmunes a vectores de ataque que explotan el diseño del entorno de recuperación. La seguridad en ecosistemas Apple requiere configuración activa, no solo confiar en los valores predeterminados.

Para los founders que lideran equipos técnicos, este es un recordatorio de que la seguridad operacional debe ser parte del stack, no un afterthought. Cada dispositivo con acceso a datos críticos —credenciales de producción, claves de cifrado, código propietario— debe estar protegido con múltiples capas.

Conclusión

Las vulnerabilidades descubiertas por Yaseen Ghanem en el modo de recuperación de macOS son un ejemplo claro de cómo un diseño con buenas intenciones puede convertirse en superficie de ataque. Con CVSS 8.5 para la vulnerabilidad de escritura con persistencia root y CVSS 4.6 para la lectura sin restricciones, el riesgo es real y medible.

Si lideras una startup tech y tu equipo trabaja con Macs, hoy mismo es un buen momento para revisar la configuración de seguridad de arranque, activar FileVault y revisar tu política de acceso físico a dispositivos. La seguridad no es un destino, es una práctica continua.

Conecta con founders que priorizan la seguridad tech en sus stacks: comparte experiencias, herramientas y mejores prácticas en nuestra comunidad.

Unirse a la comunidad