В VMware Workstation и Fusion закрыли критическую уязвимость выхода на хост
Ошибка CVE-2026-59346 позволяет администратору гостевой виртуальной машины с адаптером VMXNET3 выполнить код на хостовой системе. Обновления доступны для Workstation и Fusion 26H1u1.
Broadcom выпустила исправления для двух уязвимостей в VMware Workstation и VMware Fusion. Наиболее опасная из них, CVE-2026-59346, получила оценку 9,3 балла по шкале CVSS: при определённых условиях злоумышленник может выполнить произвольный код на хостовой системе из гостевой виртуальной машины.
Причина CVE-2026-59346 — переполнение целого числа. Для атаки необходимы локальные административные права в виртуальной машине, а также виртуальный сетевой адаптер VMXNET3. Исследователи @h4urek, @cameudis и Stan S указаны как обнаружившие проблему.
Вместе с ней устранена CVE-2026-59347 — переполнение буфера в стеке в компоненте HGFS. Её оценка CVSS составляет 8,1 балла. Злоумышленник с локальными правами администратора в гостевой ОС может выполнить код от имени процесса VMX виртуальной машины, запущенного на хосте. Об уязвимости сообщили Yeonghyeon Choi и Tianchu Chen из Tencent Xuanwu Lab.
Проблемы затрагивают VMware Workstation и VMware Fusion версий 25H2 и 26H1. Broadcom сообщает, что обходных мер защиты нет; исправления вошли в VMware Workstation 26H1u1 и VMware Fusion 26H1u1.
Данных об эксплуатации этих двух уязвимостей в реальных атаках пока нет. При этом для успешной атаки злоумышленнику сначала требуется получить административный доступ внутри виртуальной машины — например, в результате другой компрометации.