Broadcomは木曜日、VMware WorkstationおよびFusionに存在する深刻および重要度の高い脆弱性2件に対するパッチを発表しました。
1つ目の問題はCVE-2026-59346(CVSSスコア9.3)として追跡されており、任意のコード実行につながる整数オーバーフローの不具合であると説明されています。
「VMXNET3仮想ネットワークアダプタを搭載した仮想マシン上でローカル管理者権限を持つ悪意のある攻撃者が、この問題を悪用してホスト上でコードを実行する可能性があります」と、Broadcomはアドバイザリで述べています。
CVE-2026-59347(CVSSスコア8.1)として追跡されている2つ目の欠陥は、スタックベースのバッファオーバーフローで、悪用の条件は異なるものの、同様の結果につながる可能性があります。
「仮想マシン上でローカル管理者権限を持つ悪意のある攻撃者が、この問題を悪用して、ホスト上で動作する仮想マシンのVMXプロセスとしてコードを実行する可能性があります」と、Broadcomは説明しています。
両脆弱性は、VMware WorkstationおよびVMware Fusionのバージョン25H2と26H1に影響し、バージョン26H1u1で修正されています。
いずれの欠陥にも回避策は存在せず、Broadcomはできるだけ早くパッチ適用済みのバージョンへアップデートするよう推奨しています。
同社は、これらの脆弱性が実際に悪用された事例については一切言及しておらず、両問題とも非公開で報告されたとしています。
しかし、VMware製品のセキュリティ上の欠陥は、脅威アクターに悪用されるケースが多く見られます。現在、20件以上のVMware関連脆弱性がCISAのKEVリストに登録されています。
翻訳元: https://www.securityweek.com/vmware-workstation-and-fusion-updates-patch-critical-vulnerability/
