Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
Nuevo en 2MCI
Crear cuenta gratis Ver herramientas sin registro
Ya tengo cuenta
Iniciar sesión
Equipo
Portal interno 2MCI
Inicio/ Alertas/ Vulnerabilidad
Alto CVE-2026-90894 Multiple Vendors

Vulnerabilidad alta en Parallels Desktop: escalada de privilegios local vía socket mundial

Vulnerabilidad · Publicado 14/09/2026

7.8
CVSS 3.x
04 Medio7 Alto9 Crítico10
Severidad: Alto
Resumen ejecutivo

Parallels Desktop ejecuta el servicio prl_disp_service con permisos root a través de un socket accesible mundialmente (/var/run/prl_disp_service.socket), permitiendo a usuarios locales ejecutar comandos arbitrarios sin validación de firma ni pertenencia a grupos administrativos. La vulnerabilidad afecta principalmente a empresas en México y LATAM que usan Parallels Desktop en infraestructuras de desarrollo, testing y virtualización en macOS, exponiendo sistemas con múltiples usuarios o acceso compartido.

Análisis asistido por IA, contexto LATAM revisado por el equipo 2MCI.

Descripción técnica

Descripción técnica

Parallels Desktop runs prl_disp_service as root. Local clients reach it on the world-writable socket /var/run/prl_disp_service.socket. PrlSrv_LoginLocal accepts peer credentials. No Parallels signature. No admin group. After login, PrlSrv_InstallAppliance lets you pick the appliance folder (sVmParentPath). The daemon unpacks with one string, tar -xf "%1" -C "%2", then Qt QProcess::splitCommand chops that string into words. A quote in the folder name closes early. The leftover text becomes extra tar flags. macOS tar --use-compress-program= runs the named program as root.

Puntuación CVSS

Score: 7.8/10 — Severidad: HIGH — Estado NIST: Received

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Debilidades (CWE)

CWE-78, CWE-88, CWE-269

Fuente oficial

Publicado en NIST NVD.

¿Qué hacer?
  • Identificar instancias de Parallels Desktop en inventarios y documentar versiones
  • Aplicar inmediatamente parches de seguridad del fabricante cuando estén disponibles
  • Restringir acceso local a máquinas con Parallels Desktop a usuarios de confianza únicamente
  • Monitorear permisos de /var/run/prl_disp_service.socket en auditorías de seguridad
  • Evaluar migración a alternativas si parches no están disponibles para versiones críticas

Fuentes originales

⬤ NIST NVD ↗
cve-2026-90894 nvd alto vulnerabilidad cwe-78 cwe-88 cwe-269
Esta alerta fue generada automáticamente a partir del NVD del NIST.
← Volver a todas las alertas