VMware Workstation und Fusion Updates beheben kritische VM-Escape-Schwachstellen

Broadcom hat Sicherheitsupdates für eine kritische VMware Workstation-Schwachstelle veröffentlicht, die es einem Angreifer mit administrativen Rechten innerhalb einer virtuellen Maschine ermöglichen kann, Code auf dem physischen Computer auszuführen, der diese hostet. Die Schwachstelle, verfolgt als CVE-2026-59346, hat einen CVSS-Score von 9,3 von 10. Es handelt sich um einen Integer-Überlauf, einen Programmierfehler, bei dem ein Wert den für seine Speicherung vorgesehenen Platz überschreitet, was einem Angreifer ermöglichen kann, die Software auf unbeabsichtigte Weise zu beeinflussen. Die Schwachstelle wird über den virtuellen Netzwerkadapter VMXNET3 erreicht, die virtuelle Netzwerkkarte des Gastsystems, und sie ist nur relevant, wenn ein Angreifer bereits über lokale administrative Rechte innerhalb der Gast-VM verfügt.

Das gleiche Update behebt auch CVE-2026-59347 mit einem CVSS-Score von 8,1. Diese zweite Schwachstelle ist ein stack-basierter Pufferüberlauf in HGFS, der Funktion für freigegebene Ordner, die den Dateiaustausch zwischen einer virtuellen Maschine und ihrem Host ermöglicht. Ein stack-basierter Pufferüberlauf ist ein Speichersicherheitsfehler, bei dem zu viele Daten in einen Speicherbereich fester Größe geschrieben werden, und er kann missbraucht werden, um die nächsten Aktionen der Software umzuleiten. Mit lokalem administrativem Zugriff innerhalb des Gastsystems könnte ein Angreifer dieses Problem ausnutzen, um Code als der auf dem Host laufende VMX-Prozess auszuführen. Der VMX-Prozess ist die Komponente auf dem Host-Computer, die die Kernoperationen einer virtuellen Maschine verwaltet, sodass seine Kompromittierung die Isolationsgrenze zwischen Gast und dem Rest der Maschine aufbricht.

Broadcom dankte @h4urek, @cameudis und Stan S für die Meldung des Integer-Überlaufs sowie Yeonghyeon Choi und Tianchu Chen vom Tencent Xuanwu Lab für die Meldung des HGFS-Pufferüberlaufs. Die betroffenen Versionen sind VMware Workstation und VMware Fusion 25H2 und 26H1. Broadcom gibt an, dass es für keine der beiden Schwachstellen Workarounds gibt, und beide sind in VMware Workstation 26H1u1 und VMware Fusion 26H1u1 behoben. Jeder, der eine frühere Version verwendet, sollte das Update anwenden, bevor er eine virtuelle Maschine startet.

Eine erfolgreiche Ausnutzung hängt davon ab, dass ein Angreifer bereits über lokale administrative Rechte innerhalb einer virtuellen Maschine verfügt. Dieser Zugriff ist nicht etwas, das die Schwachstellen selbst erzeugen können, aber er kann durch eine separate Kompromittierung wie eine Phishing-Nachricht oder eine schwache Benutzerkonfiguration erlangt werden. Broadcom erklärt, dass es bisher keine Hinweise darauf gibt, dass eine der beiden Schwachstellen in freier Wildbahn ausgenutzt wurde. VMware-Produkte bleiben jedoch ein häufiges Ziel, da sie zwischen dem Betriebssystem und den virtuellen Maschinen sitzen, und ein erfolgreicher Escape kann die Sicherheit von allem, was auf demselben Host läuft, untergraben.

Das Update kommt vor dem Hintergrund anderer VMware-Angriffe. Letzten Monat wurden Bedrohungsakteure beobachtet, die zwei separate Schwachstellen in VMware vCenter, einer zentralen Verwaltungsplattform für VMware-Infrastruktur, aktiv ausnutzten: CVE-2026-59309 und CVE-2026-59310, wobei die zweite vermutlich von einem Advanced Persistent Threat (APT)-Akteur, einer gut ausgestatteten Gruppe, die leise in Systeme eindringt und lange Zeit bleibt, mit Verbindungen zu China, bewaffnet wurde. Laut der Quelle begann diese Aktivität fünf Kalendertage nach der öffentlichen Offenlegung und erreichte schätzungsweise 361 eindeutige Opfer-IP-Adressen in 47 Ländern. Die höchste Anzahl von Infektionen wurde in Deutschland gesehen (55), gefolgt von den USA (41), der Türkei (38), dem Iran (26) und Frankreich (25).

Für Website-Betreiber und IT-Teams sind die Lehren klar. Virtuelle Maschinen werden oft verwendet, um Software zu testen, Legacy-Systeme auszuführen oder riskante Aktivitäten zu isolieren, aber sie bieten nur dann echte Trennung, wenn der Host und der Hypervisor, die zugrunde liegende Software, die virtuelle Maschinen erstellt und verwaltet, gepatcht bleiben. Das Anwenden der Updates für VMware Workstation 26H1u1 und VMware Fusion 26H1u1 schließt die beiden neu offengelegten Escape-Pfade. Teams, die ihre Virtualisierungsinfrastruktur regelmäßig patchen, reduzieren die Wahrscheinlichkeit, dass eine geringfügige Konto-Kompromittierung innerhalb einer Test-VM zu einem ernsthaften Einbruch in den Host-Computer wird. Für IT-Gruppen, die VMware Workstation oder Fusion in Labor- oder Entwicklungsumgebungen betreiben, kann die sicherheitsorientierte IT- und Beratungspraxis von AEU-I helfen, Patchen und Host-Härtung in einem regelmäßigen Überprüfungszyklus zu halten.