新たに発見されたVMware Fusionの脆弱性はサイバーセキュリティコミュニティ全体に警報を発生させています。これは攻撃者が影響を受けるシステムの権限をrootにエスカレートさせることを可能にし、実質的に侵害されたマシンの完全な制御を与えるものです。
CVE-2026-41702として追跡されるこの脆弱性は、CVSS スコア 7.8 を持ち、高い重大度として分類されています。この問題は、VMware製品を現在監督しているBroadcomにより、2026年5月14日にリリースされたアドバイザリVMSA-2026-0003で正式に開示されました。
この脆弱性は、SETUIDバイナリで発見された Time-of-Check Time-of-Use (TOCTOU) 競合状態に由来します。これは、特定のタイミング条件下で権限エスカレーションを可能にすることで知られているバグのクラスです。
簡潔に言えば、TOCTOU の欠陥はシステムが条件をチェックしても、それが行動を起こす前に変わらないままであることを確認できないときに発生します。攻撃者はチェック段階と実行段階の間にシステム状態を操作することでこのギャップを利用できます。
この場合、低い権限を持つローカル攻撃者は、競合状態を悪用してコードをrootユーザーとして実行できます。
このレベルのアクセスは、すべての標準的なセキュリティ制御を実質的に無視し、エンタープライズと個人の両方の環境で重大なリスクとなります。
この脆弱性は、オンラインで @coiffeur0x90 として知られているセキュリティ研究者 Mathieu Farrell により責任を持って報告されました。
現在のところ野生での積極的な悪用の報告はありませんが、攻撃はユーザーの相互作用を必要とせず、複雑さが低く、特に共有システムまたはマルチユーザー環境での悪用の可能性を増加させています。
この欠陥は特に VMware Fusion バージョン 25H2 がすべてのサポートされているプラットフォームに影響を与えます。VMware Fusion は開発者、セキュリティ専門家、およびエンタープライズがテスト、サンドボックス化、複数のオペレーティングシステムの実行などの仮想化タスクに広く使用しています。この広範な使用は潜在的な攻撃面を大幅に拡大します。
Broadcom は VMware Fusion バージョン 26H1 でこの問題に対処し、完全な修正が含まれています。
注目すべきことに、利用可能な回避策はなく、パッチが唯一の有効な緩和手段であることを意味しています。脆弱なバージョンを実行しているシステムは更新されるまで公開されたままです。
セキュリティ専門家は、このようなローカル 権限エスカレーション脆弱性 がマルチステージ攻撃の一部として使用されることが多いと警告しています。
例えば、フィッシングまたは別の悪用を通じて初期の低レベルアクセスを得た攻撃者は、この欠陥をチェーンして完全なシステム侵害を達成することができます。
組織は、パッチが適用されたバージョンに直ちに更新することを強く勧められています。さらに、最小権限アクセス制御を実装し、ローカルユーザーの権限を制限し、異常なシステムアクティビティを監視することは、悪用のリスクを減らすのに役立ちます。
この事件は、開発者ツールと仮想化プラットフォームに対する攻撃者の注目の増加を強調しています。
これらの環境が最新のワークフローの中心になるにつれて、タイムリーな更新とプロアクティブな監視によるセキュリティの確保はこれまで以上に重要になります。
翻訳元: https://cyberpress.org/vmware-fusion-vulnerability/
