Broadcom hat am Donnerstag Patches für zwei Schwachstellen in VMware Workstation und VMware Fusion angekündigt. Beide Fehler setzen an derselben Stelle an: Wer innerhalb einer virtuellen Maschine bereits lokale administrative Rechte besitzt, kann sie ausnutzen, um Code auf dem Hostsystem auszuführen.
Die kritischere der beiden Lücken wird unter CVE-2026-59346 geführt und erhält einen CVSS-Wert von 9.3. Broadcom beschreibt sie als Integer-Überlauf, der die Ausführung beliebigen Codes ermöglicht. Im Hinweis des Herstellers heißt es, ein böswilliger Akteur mit lokalen administrativen Rechten auf einer virtuellen Maschine mit virtuellem Netzwerkadapter VMXNET3 könne das Problem ausnutzen, um Code auf dem Host auszuführen. Die Voraussetzung ist damit eng umrissen — sie betrifft die Konfiguration des virtuellen Netzwerkadapters.
Die zweite Schwachstelle, CVE-2026-59347, wird mit 8.1 bewertet und ist ein stapelbasierter Pufferüberlauf. Das Ergebnis ist vergleichbar, die Bedingungen für eine Ausnutzung unterscheiden sich jedoch. Laut Broadcom kann ein böswilliger Akteur mit lokalen administrativen Rechten auf einer virtuellen Maschine den Fehler ausnutzen, um Code als der auf dem Host laufende VMX-Prozess der virtuellen Maschine auszuführen. Die Ausführung erfolgt also im Kontext genau jenes Prozesses, der die betreffende VM auf dem Wirtssystem verwaltet.
Betroffen sind jeweils die Versionen 25H2 und 26H1 von VMware Workstation und VMware Fusion. Behoben hat Broadcom beide Probleme in der Version 26H1u1. Behelfslösungen oder Konfigurationsänderungen, die das Risiko ohne Update mindern würden, stehen nach Angaben des Herstellers nicht zur Verfügung; Broadcom empfiehlt, so schnell wie möglich auf eine gepatchte Fassung zu aktualisieren.
Angriffe auf die beiden Schwachstellen erwähnt Broadcom nicht. Nach Darstellung des Unternehmens wurden beide Probleme vertraulich gemeldet. Das ist bei VMware-Produkten allerdings keine Selbstverständlichkeit: Sicherheitslücken in der Virtualisierungssoftware werden häufig von Angreifern ausgenutzt. Derzeit sind mehr als zwei Dutzend VMware-Schwachstellen im KEV-Katalog der US-Behörde CISA verzeichnet, der bekannte, aktiv ausgenutzte Schwachstellen listet.
Der sicherheitstechnische Kern beider Fehler ist der Bruch der Trennung zwischen Gast und Wirt. Wer eine virtuelle Maschine als Sicherheitsgrenze einsetzt, verliert diese Grenze, sobald ein Angreifer in der VM administrative Rechte erlangt und eine der beiden Lücken nutzt — auf einem Host mit mehreren virtuellen Maschinen reicht die Kompromittierung einer einzigen VM als Ausgangspunkt.