Macをフリーズさせるウェブページ「The Deathray」

ウェブページを開くだけでMacの画面操作ができなくなる「The Deathray」を、開発者のオーベロン・ロペス氏が公開しました。ブラウザからGPUを利用する機能を使ったもので、ロペス氏によるとChrome、Firefox、Safariで再現したとのことです。

auberon.xyz/blog/posts/deathray/
https://auberon.xyz/blog/posts/deathray/

ロペス氏がこの問題を発見したきっかけは、ブラウザからGPUに描画や計算を行わせる「WebGPU」で誤って終わりのない繰り返し処理を書いてしまったところ、Macが操作できなくなり、試し直しても同じ現象が起きたことでした。

The Deathrayの仕組みは、GPUに同じ計算を延々と繰り返させ、その結果を使う描画処理も待たせ続けるというものです。影響はブラウザ内にとどまらず、Macの画面表示を担う「WindowServer」にも及び、デスクトップ全体が応答しなくなります。

ただし、Macの内部処理がすべて止まるわけではなく、別のコンピューターから遠隔接続することは可能だそうです。そのまま画面表示の応答が戻らないと、異常を監視する仕組みが作動し、最終的にMacが再起動してしまいます。

ロペス氏が確認したのは、Appleシリコンを搭載し、macOS 26 Tahoeが動作するMacBookです。同氏が試した他のOSでは、動作が重くなってもタブを閉じれば回復したとのことです。

Appleのデバイスで同様の問題が見つかったのは、今回が初めてではありません。Impervaのロン・マサス氏は、WebGLで膨大な回数の繰り返し処理を行わせてGPUを占有させる「ShadyShader」を発見しており、Appleは「CVE-2023-40441」として2023年に修正しました。ロペス氏によると、Appleはこのとき暴走する繰り返し処理を検出しやすくしましたが、WebGPUではその対策が十分に機能していないようだとのことです。

ロペス氏が2026年7月27日にAppleへ報告したところ、Appleは当初修正する意向を示しました。しかし、8月26日にはセキュリティ上の影響は認められないと回答したそうです。ロペス氏によると、Appleはクラッシュやフリーズ、回復可能なデータ損失をセキュリティ上の問題とはみなしておらず、報告は改善を検討する別のチームへ送られたとのことです。ロペス氏は、ShadyShaderがCVSSスコア6.5(中程度)の問題と評価されていたことを挙げ、今回の判断に疑問を示しています。

ロペス氏はThe Deathrayが情報の窃取などと同じ深刻さを持つとは考えていませんが、それでもリンクを開いただけでMacを操作できなくなることはブラウザへの信頼を損なうものだと指摘しました。また、対策としてGPU上で終わらなくなった処理を途中で止める仕組みの強化を求めています。