Ein kürzlich demonstrierter Exploit, genannt 'The Deathray', ermöglicht es einer nicht vertrauenswürdigen Website, das Grafiksystem eines Macs einzufrieren, wodurch die Desktop-Benutzeroberfläche bis zu einemzwungenen Neustart unbrauchbar wird. Offenbart am 10. September 2026, betrifft die Schwachstelle Mac OS in Chrome, Firefox und Safari auf M-series MacBooks mit Tahoe, lässt sich jedoch auf anderen Betriebssystemen nicht reproduzieren.

Der Angriff nutzt Web GPU, eine moderne Browser-API zum Ausführen von Shadern auf der GPU des Geräts. Ein minimaler Compute-Shader enthält eine endlos beschäftigte Schleife, die den GPU-Puffer monopolisiert, den Vertex-Shader blockiert und einen Kaskadeneffekt auf den Window Server auslöst. Dies führt zu einem systemweiten Einfrieren der Benutzeroberfläche, visuellen Artefakten und schließlich zu einem Kernel-Panic, ausgelöst durch einen Watchdog-Timer.

Der Rest des Systems bleibt über SSH reagierbar. Der Autor weist darauf hin, dass dies einem Web-GL-Exploit aus dem Jahr 2023 ähnelt, 'Shady Shader' von Ron Masas von Imperva (CVE-2023-40441), den Apple durch verbesserte Schleifenerkennung gepatcht hat. Allerdings scheint die Validierung von Web GPU schwächer zu sein, was trivial erkennbare Endlosschleifen zulässt.

Der Autor argumentiert, dass das Erkennen von Haltezuständen grundsätzlich unmöglich ist und fordert eine bessere GPU-Preemption für nicht vertrauenswürdigen Code, wobei er darauf hinweist, dass andere Betriebssysteme dies korrekt handhaben.