A Broadcom biztonsági frissítéseket adott ki két, a VMware Workstationt és a Fusiont érintő biztonsági hibára, köztük egy kritikus sebezhetőségre, amely bizonyos feltételek mellett tetszőleges kód futtatását teheti lehetővé.

A CVE-2026-59346 azonosítót kapott sebezhetőség (CVSS pontszám: 9,3) egy egészszám-túlcsordulási hiba, amelyet egy helyi, emelt jogosultságokkal rendelkező támadó kihasználhat tetszőleges kód futtatására.

„Egy rosszindulatú szereplő, aki helyi adminisztrátori jogosultságokkal rendelkezik egy VMXNET3 virtuális hálózati adapterrel rendelkező virtuális gépen, kihasználhatja ezt a problémát, és kódot futtathat a host rendszeren” – közölte a Broadcom a figyelmeztetésében.

A cég @h4urek, @cameudis és Stan S kutatókat nevezte meg a probléma felfedezőiként.

A Broadcom egy másik hibát is javított: egy veremalapú buffer-túlcsordulási sebezhetőséget a HGFS-ben (CVE-2026-59347, CVSS pontszám: 8,1). Ezt egy olyan támadó használhatja ki, aki helyi adminisztrátori jogosultságokkal rendelkezik egy virtuális gépen, és így kódot futtathat a hoston futó, a virtuális géphez tartozó VMX folyamat jogosultságaival.

Ezt a hibát Yeonghyeon Choi és Tianchu Chen, a Tencent Xuanwu Lab kutatói jelentették.

Mindkét esetben a sikeres kihasználás feltétele, hogy a támadó már rendelkezzen helyi adminisztrátori jogosultságokkal. Ezeket azonban más módon is megszerezheti, például adathalászattal vagy gyenge felhasználói konfigurációk kihasználásával.

A két sebezhetőség a VMware Workstation és a VMware Fusion 25H2 és 26H1 verzióit érinti. A Broadcom közölte, hogy nincs olyan kerülőmegoldás, amely kezelné ezeket a sebezhetőségeket, ugyanakkor már elérhető a javítócsomag a VMware Workstation 26H1u1 és a VMware Fusion 26H1u1 kiadásokban.

Bár egyelőre nincs bizonyíték arra, hogy a biztonsági hibákat aktívan kihasználnák, a VMware termékeiben talált sebezhetőségek régóta vonzzák a támadókat.

Még a múlt hónapban is megfigyelték, hogy fenyegető szereplők aktívan kihasználnak két VMware vCenter hibát, a CVE-2026-59309 és a CVE-2026-59310 azonosítójú sebezhetőségeket. Utóbbiról azt gyanítják, hogy egy Kínához köthető, fejlett, tartós fenyegetést (apt) jelentő csoport fegyverezte fel.

A támadási hullám öt nappal a hiba nyilvános közzététele után indult, és becslések szerint 47 országban összesen 361 egyedi áldozat IP-címét érintette. A legtöbb fertőzés Németországban (55), az Egyesült Államokban (41), Törökországban (38), Iránban (26) és Franciaországban (25) fordult elő.