O que aconteceu

A Apple publicou, em outubro de 2026, uma atualização oficial na página de desenvolvedores descrevendo mudancas significativas no comportamento do Full Disk Access (FDA) no macOS. A permissão de Full Disk Access existe desde o macOS Mojave (10.14) e permite que aplicativos acessem areas protegidas do sistema de arquivos como e-mails, mensagens, fotos, backups do Time Machine, pastas de preferencias de usuário e dados de outros aplicativos sem restrição de sandbox.

As mudancas anunciadas alteram quando e como aplicativos podem solicitar e manter essa permissão, com implicações diretas para ferramentas de segurança de endpoint, antivirus, softwares de backup, EDR (Endpoint Detection and Response) e qualquer solução que dependa de acesso amplo ao sistema de arquivos para funcionar corretamente.

Para profissionais de segurança e administradores de sistemas que gerenciam frotas de Macs corporativos, entender essas mudancas e essencial antes de atualizar o sistema operacional dos endpoints monitorados.

Como funciona o Full Disk Access

O Full Disk Access e uma categoria especial dentro do sistema de privacidade do macOS chamado TCC (Transparency, Consent and Control). O TCC gerência quais aplicativos tem acesso a categorias sensiveis: camera, microfone, localização, contatos, calendarios e, entre os mais críticos, o disco completo.

Tecnicamente, o TCC armazena suas permissões em um banco de dados SQLite localizado em ~/Library/Application Support/com.apple.TCC/TCC.db para o nível de usuário e em /Library/Application Support/com.apple.TCC/TCC.db para o nível de sistema. Cada entrada registra o bundle ID do aplicativo, o serviço solicitado, o status da permissão (autorizado, negado, não determinado) e se a permissão veio de uma ação do usuário ou foi concedida via perfil MDM.

Quando um aplicativo tenta acessar um arquivo ou diretório protegido sem ter Full Disk Access, o macOS intercepta a chamada de sistema via Endpoint Security Framework (ESF) ou via regras de sandbox e retorna um erro de permissão (EPERM ou EACCES), mesmo que o usuário esteja logado como administrador.

As mudancas anunciadas pela Apple afetam principalmente como MDMs (Mobile Device Management, como Jamf, Kandji, Mosyle) podem provisionar esse acesso em escala e como o sistema lida com aplicativos que tem o FDA mas que foram atualizados, substituidos ou cujos binários foram modificados após a concessao da permissão.

Quem foi afetado

As mudancas impactam diretamente as seguintes categorias de software e cenários de uso:

  • Antivirus e EDR: soluções como CrowdStrike Falcon, SentinelOne, Carbon Black e similares dependem de Full Disk Access para monitorar o sistema de arquivos em tempo real. Qualquer mudanca no ciclo de vida da permissão pode interromper a cobertura de segurança sem alerta visível para o usuário.
  • Ferramentas de backup: Time Machine, Backblaze, Acronis e similares precisam de FDA para acessar todos os arquivos do usuário, incluindo os protegidos por sandbox de outros apps.
  • Ferramentas de forense digital: scripts de coleta de evidências baseados em shell usam FDA para coletar artefatos do sistema de arquivos protegidos.
  • Scripts de auditoria e compliance: scripts personalizados rodando via MDM que coletam inventario de software, configurações de segurança e estado do sistema podem ser afetados se o contexto de execução perder o FDA.
  • Ambientes corporativos com MDM: empresas que provisionam FDA automaticamente via perfis de configuração MDM podem precisar rever e atualizar esses perfis para manter a cobertura após a atualização do macOS.

Do ponto de vista do usuário final em ambiente domestico, o impacto e menor; a mudanca e mais crítica em ambientes corporativos gerenciados onde dezenas ou centenas de Macs precisam ter essas permissões mantidas de forma consistente e auditavel.

Como identificar se sua ferramenta foi afetada

O primeiro passo para identificar impacto e verificar o estado atual do Full Disk Access para cada aplicativo relevante. Existem algumas abordagens para isso:

Via interface grafica: acesse Configurações do Sistema - Privacidade e Segurança - Full Disk Access. Cada aplicativo listado mostra se está com a permissão ativa ou não.

Via linha de comando (para administradores): o utilitario tccutil permite resetar permissões por bundle ID. O banco TCC pode ser consultado com sqlite3 no caminho /Library/Application Support/com.apple.TCC/TCC.db, filtrando pelo serviço kTCCServiceSystemPolicyAllFiles para listar todos os aplicativos com Full Disk Access concedido.

Via MDM e logs: soluções MDM como Jamf Pro oferecem visibilidade sobre quais perfis de privacidade estão ativos em cada dispositivo. Verificar o painel de compliance do MDM e o primeiro passo em ambientes corporativos.

Sinais de perda de FDA: ferramentas de segurança que perderam o FDA geralmente registram erros como Operation not permitted ou EPERM, ou exibem alertas específicos como Full Disk Access required ou Proteção em tempo real desabilitada. Monitorar os logs do agente de segurança e um indicador crítico.

Como se proteger e manter a cobertura

Para ambientes corporativos gerenciados via MDM, as recomendações práticas são:

  1. Auditar perfis de privacidade existentes: revisar todos os perfis MDM que concedem FDA e verificar se os bundle IDs e os requisitos de assinatura de código correspondem as versões atuais dos aplicativos.
  2. Testar em ambiente de staging: antes de atualizar macOS em produção, validar o comportamento das ferramentas de segurança em uma máquina de teste com a nova versão do sistema operacional.
  3. Manter versões de aplicativos atualizadas: fornecedores de EDR e antivirus geralmente lançam atualizações de compatibilidade rapidamente quando mudancas no macOS afetam seus produtos. Manter as ferramentas de segurança atualizadas reduz o risco de interrupção.
  4. Configurar alertas de compliance: usar o MDM para alertar quando um dispositivo perder o FDA para uma ferramenta crítica de segurança, permitindo correção rapida antes que o endpoint fique sem proteção.
  5. Documentar dependências de FDA: manter um inventario de todos os aplicativos corporativos que dependem de Full Disk Access facilita a resposta rapida quando mudancas no sistema operacional afetam esse acesso.

Comparação com mudancas anteriores no TCC e FDA

Está não e a primeira vez que a Apple realiza mudancas significativas no TCC que impactam ferramentas de segurança. Em 2019, com o macOS Catalina, a Apple introduziu o Full Disk Access como categoria separada, quebrando varios produtos de segurança que antes funcionavam sem essa permissão explicita. Em 2021, com o macOS Monterey, mudancas no ESF afetaram como extensões de kernel legadas podiam monitorar eventos de sistema, forcando migração para extensões de sistema (System Extensions).

O padrão histórico e consistente: cada versão major do macOS traz restrições adicionais de privacidade e segurança que inicialmente quebram ou degradam ferramentas de terceiros até que os fornecedores adaptem seus produtos. A diferença desta vez e que as mudancas parecem ser incrementais e mais específicas ao ciclo de vida das permissões, não uma revisao arquitetural completa como a transição kext para System Extension.

Em comparação com o Windows, onde o modelo de permissões de acesso a arquivos e baseado em ACLs e grupos de segurança, o modelo do macOS via TCC e considerado mais restritivo e granular para o usuário final, mas também mais complexo de gerenciar em escala corporativa. Plataformas Linux corporativas geralmente delegam esse controle a frameworks como SELinux ou AppArmor, que oferecem granularidade maior mas exigem expertise mais avancada para configurar.

Análise técnica

Do ponto de vista técnico, o Full Disk Access no macOS e implementado como uma exceção ao MACF (Mandatory Access Control Framework), que é a camada de segurança de nível de kernel que controla todas as chamadas de sistema sensiveis no macOS. O MACF e uma implementação do framework TrustedBSD MAC, adaptado pela Apple.

Quando um aplicativo tem FDA, o kernel permite que suas chamadas de sistema de leitura (open, read, stat) passem pelas verificações de TCC sem bloqueio. Sem FDA, uma chamada open(2) para um caminho protegido e interceptada pelo sandbox do sistema e retorna EPERM.

As mudancas anunciadas pela Apple afetam especificamente o comportamento quando o executavel principal de um aplicativo e substituído ou atualizado. Em versões anteriores, o FDA era concedido ao bundle ID do aplicativo como um todo; após as mudancas, ha indicações de que o sistema verifica com mais frequência se o binário assinado corresponde ao que recebeu a permissão originalmente, o que pode invalidar permissões após atualizações de aplicativos entregues fora da Mac App Store.

Para ferramentas de segurança distribuidas como binários assinados com Developer ID (fora da App Store), isso significa que o processo de atualização automática pode exigir que o usuário ou o MDM reautorize o FDA manualmente, criando uma janela de vulnerabilidade entre a atualização do agente e a reconcessao da permissão.

Impacto e consequencias

O impacto mais imediato de perda de Full Disk Access em ferramentas de segurança e a criação de um ponto cego de segurança no endpoint. Um antivirus ou EDR que perde o FDA continua rodando e pode até reportar status ativo para o MDM, mas não consegue mais inspecionar arquivos em areas protegidas do sistema, efetivamente desabilitando parte crítica de sua cobertura sem alerta visível.

Do ponto de vista financeiro e reputacional, um incidente de segurança em um endpoint que havia perdido a cobertura de FDA de forma silenciosa e um cenário de alto risco. Em ambientes regulados (saude, financas, juridico), a perda não documentada de cobertura de segurança em endpoints pode representar uma violação de compliance com regulamentações como HIPAA, SOC 2 ou LGPD.

Para equipes de segurança, o risco operacional e a multiplicação de falsos negativos: ameacas que deveriam ser detectadas passam sem alarme porque o agente não tem acesso ao sistema de arquivos onde o artefato malicioso reside.

Dicas práticas e boas práticas

Para profissionais de segurança e administradores de sistemas Mac, algumas boas práticas ajudam a mitigar os riscos associados a mudancas no FDA:

  • Inventariar todos os aplicativos com FDA: manter uma lista documentada e atualizada de todas as ferramentas que dependem de Full Disk Access no ambiente corporativo.
  • Implementar verificação continua de compliance: configurar checks automatizados no MDM que alertem quando qualquer ferramenta crítica perder o FDA, integrando esse sinal ao SIEM ou painel de segurança.
  • Manter canais de comunicação com fornecedores: assinar newsletters técnicas e listas de segurança dos fornecedores de EDR/antivirus para receber avisos antecipados de impacto de novas versões do macOS.
  • Testar em staging antes de atualizar produção: nunca atualizar o macOS em endpoints críticos sem antes validar o comportamento das ferramentas de segurança em um dispositivo de teste.
  • Documentar e auditar perfis MDM periodicamente: perfis de privacidade criados anos atras podem estar desatualizados. Revisar anualmente e uma boa prática mínima.
  • Treinar o time de suporte: garantir que o time de helpdesk saiba identificar e escalar casos de perda de FDA antes que um endpoint fique descoberto por tempo prolongado.

Conclusao: o que fazer agora

As mudancas anunciadas pela Apple no Full Disk Access do macOS são um lembrete de que a segurança de endpoint em ambientes Apple exige manutenção ativa e não pode ser tratada como configure uma vez e esqueca. A cada versão major do macOS, e necessário verificar o impacto nos controles de segurança existentes.

Se você administra Macs corporativos, os próximos passos recomendados são: (1) auditar o inventario de aplicativos com FDA no seu MDM, (2) testar as ferramentas de segurança em um Mac com a versão mais recente do macOS antes de distribuir a atualização para a frota, (3) configurar alertas de compliance para perda de FDA em ferramentas críticas e (4) manter os agentes de segurança atualizados para versões compatíveis com a nova versão do sistema operacional.

O monitoramento continuo de endpoints e uma parte fundamental de qualquer estrategia de segurança moderna. Ferramentas como o TrustSiteMonitor ajudam a manter visibilidade sobre a superficie de ataque exposta dos seus sistemas web, complementando a cobertura de segurança de endpoint que ferramentas como EDR e antivirus fornecem no nível do sistema operacional.