macOS Tahoe 26.6: Virenschutz SentinelOne be­kämpft das Betriebssystem

Das Sicherheitsupdate auf macOS Tahoe 26.6 verursacht auf einigen Macs Probleme mit SentinelOne. Die Schutzsoftware stuft mehrere legitime Systemprozesse als Schadcode ein. Betroffene Unternehmen sollen die Aktualisierung deshalb vorerst nicht ausrollen.

SystemUIServer und App Store gelten als Malware

Apple hat macOS Tahoe 26.6 am 27. Juli veröffentlicht. Das Update schließt eine große Zahl an Sicherheitslücken, darunter Schwachstellen im Kernel, in den GPU-Treibern, bei CUPS, ImageIO und weiteren Bestandteilen des Betriebssystems.

Ausgerechnet die Installation dieses Sicherheitsupdates kann jedoch zu Problemen mit einer anderen Schutzmaßnahme führen. Nach Angaben des IT-Dienstleisters N-able erkennt SentinelOne mehrere legitime macOS-Prozesse fälschlich als Malware.

Betroffen sind unter anderem mds, SystemUIServer, loginwindow und der App Store. mds gehört zur Spotlight-Suche und katalogisiert Dateien auf dem Mac. Der SystemUIServer verwaltet Bestandteile der Benutzeroberfläche, während loginwindow für die Anmeldung und die Verwaltung von Benutzersitzungen zuständig ist.

Werden solche zentralen Prozesse blockiert oder unter Quarantäne gestellt, kann dies die Stabilität des Betriebssystems beeinträchtigen. N-able berichtet von entsprechenden Problemen auf Macs, die bereits auf macOS Tahoe 26.6 aktualisiert wurden.

SentinelOne bestätigt Fehlalarme

Verantwortlich ist laut N-able die als Static AI bezeichnete Erkennungsfunktion von SentinelOne. Sie untersucht Dateien auf verdächtige Merkmale, ohne diese zunächst ausführen zu müssen. Nach dem macOS-Update haben sich offenbar Bestandteile beziehungsweise Hashwerte legitimer Systemdateien verändert, die anschließend fälschlich als gefährlich eingestuft werden.

Ein solcher Fehlalarm wird als False Positive bezeichnet. Die Sicherheitssoftware arbeitet dabei grundsätzlich wie vorgesehen, trifft aber eine falsche Entscheidung: Eine harmlose Datei erfüllt genügend Merkmale eines Erkennungsmodells oder einer Regel, um als Schadsoftware zu gelten.

SentinelOne hat das Problem bestätigt und arbeitet an einer mehrstufigen Lösung. Zunächst sollen die Hashwerte der betroffenen Dateien über eine globale Ausnahmeregel freigegeben werden. Darauf sollen ein Live-Security-Update sowie eine dauerhafte Korrektur in einer kommenden Version des SentinelOne-Agenten folgen.

Unternehmen sollen Update vorerst aussetzen

N-able empfiehlt Administratoren, macOS Tahoe 26.6 auf mit SentinelOne geschützten Macs vorerst nicht zu verteilen. Für bereits aktualisierte Geräte stellt der Dienstleister eine vorläufige Anleitung zur Schadensbegrenzung bereit.

Ein genereller Verzicht auf das macOS-Update ist ebenfalls nicht ohne Risiko. Apple behebt mit Version 26.6 zahlreiche Schwachstellen, von denen mehrere eine Ausführung von Schadcode, das Auslesen sensibler Daten oder eine Erweiterung von Benutzerrechten ermöglichen könnten. Betroffene müssen daher zwischen einer zeitnahen Installation der Sicherheitspatches und den möglichen Problemen mit SentinelOne abwägen.