GoogleのProject Zeroが2月28日、macOSのセキュリティに影響するXNUカーネルの未修正バグを公表した（Project Zero — Issue 1726、Neowin、Threatpost）。

このバグはユーザーがマウントしたファイルシステムイメージに対するCOW（copy-on-write）の動作に関するもので、攻撃者がディスク上のイメージを直接書き換えても仮想ディスクを管理するサブシステムに通知されないため、COW処理が行われないのだという。その結果、攻撃者がメモリーを圧迫してマッピングされたイメージのページキャッシュを破棄させると、破棄されたページが再び必要になった場合にディスク上の改変されたイメージからの読み込みが行われるとのこと。

Project Zeroは昨年11月30日にAppleへバグを通知しており、Appleは将来のリリースで修正する意思を示したが、2月28日に90日が経過したため自動的に公表された。バグの深刻度は2番目に高い「High」となっている。