Broadcom hat zwei Schwachstellen in VMware Workstation und VMware Fusion behoben, von denen eine als kritisch eingestuft ist. CVE-2026-59346 erreicht einen CVSS-Wert von 9.3 und beruht auf einem Integer-Überlauf. Ausnutzbar ist der Fehler lokal durch einen Angreifer mit erhöhten Rechten.
“Ein böswilliger Akteur mit lokalen Administratorrechten auf einer virtuellen Maschine mit VMXNET3-Netzwerkadapter kann dieses Problem ausnutzen, um Code auf dem Host auszuführen”, heißt es in der Sicherheitsmeldung von Broadcom. Als Entdecker nennt das Unternehmen @h4urek, @cameudis und Stan S.
Die zweite Lücke, CVE-2026-59347 mit einem CVSS-Wert von 8.1, ist ein stackbasierter Pufferüberlauf in HGFS. Auch hier genügen lokale Administratorrechte innerhalb einer virtuellen Maschine, um Code auszuführen – und zwar im Kontext des VMX-Prozesses der jeweiligen VM, der auf dem Host läuft. Gemeldet wurde der Fehler von Yeonghyeon Choi und Tianchu Chen vom Tencent Xuanwu Lab.
Beide Schwachstellen setzen voraus, dass der Angreifer bereits über lokale Administratorrechte verfügt. Diese Hürde ist jedoch nicht unüberwindbar: Solche Rechte lassen sich etwa über eine vorgelagerte Kompromittierung durch Phishing oder durch das Ausnutzen schwacher Nutzerkonfigurationen erlangen.
Betroffen sind VMware Workstation und VMware Fusion in den Versionen 25H2 und 26H1. Broadcom betont, dass es keine Behelfslösungen gibt, die das Problem entschärfen. Die Fehler wurden in VMware Workstation 26H1u1 und VMware Fusion 26H1u1 korrigiert – ein Update ist damit der einzige Weg.
Eine Ausnutzung der beiden Lücken in freier Wildbahn ist bislang nicht bekannt. Schwachstellen in VMware-Produkten ziehen Angreifer allerdings regelmäßig an. Erst kürzlich wurde beobachtet, wie Bedrohungsakteure zwei Schwachstellen in VMware vCenter aktiv ausnutzten: CVE-2026-59309 und CVE-2026-59310. Bei letzterer besteht der Verdacht, dass ein China-naher APT-Akteur sie als Waffe einsetzte.
Die Aktivität begann fünf Kalendertage nach der öffentlichen Bekanntgabe der Schwachstelle. Schätzungen zufolge wurden dabei 361 verschiedene Opfer-IP-Adressen in 47 Ländern kompromittiert. Die meisten Infektionen konzentrierten sich auf Deutschland mit 55 Fällen, gefolgt von den USA (41), der Türkei (38), dem Iran (26) und Frankreich (25).