Aggiornamenti VMware Workstation e Fusion correggono una vulnerabilità critica di fuga dalla VM

Broadcom ha pubblicato aggiornamenti di sicurezza per una vulnerabilità critica in VMware Workstation che può consentire a un utente malintenzionato con diritti amministrativi all'interno di una macchina virtuale di eseguire codice sul computer fisico che la ospita. La falla, tracciata come CVE-2026-59346, ha un punteggio CVSS di 9,3 su 10. Si tratta di un integer overflow, un errore di programmazione in cui un valore supera lo spazio assegnato per memorizzarlo, che può consentire a un utente malintenzionato di influenzare il software in modi non previsti. La vulnerabilità viene sfruttata tramite l'adattatore di rete virtuale VMXNET3, la scheda di rete virtuale utilizzata dal sistema ospite, e ha effetto solo quando un utente malintenzionato dispone già di privilegi amministrativi locali all'interno della macchina virtuale guest.

Lo stesso aggiornamento corregge anche CVE-2026-59347, che ha un punteggio CVSS di 8,1. Questa seconda falla è un buffer overflow basato su stack in HGFS, la funzionalità delle cartelle condivise che consente il trasferimento di file tra una macchina virtuale e il suo host. Un buffer overflow basato su stack è un bug di sicurezza della memoria in cui vengono scritti troppi dati in un'area di archiviazione di dimensioni fisse, e può essere abusato per reindirizzare le azioni successive del software. Con accesso amministrativo locale all'interno del guest, un utente malintenzionato potrebbe sfruttare questo problema per eseguire codice come processo VMX in esecuzione sull'host. Il processo VMX è il componente sul computer host che gestisce le operazioni principali di una macchina virtuale, quindi comprometterlo rompe il confine di isolamento tra il guest e il resto della macchina.

Broadcom ha riconosciuto @h4urek, @cameudis e Stan S per la segnalazione dell'integer overflow, e Yeonghyeon Choi e Tianchu Chen di Tencent Xuanwu Lab per la segnalazione del buffer overflow in HGFS. Le versioni interessate sono VMware Workstation e VMware Fusion 25H2 e 26H1. Broadcom afferma che non esistono soluzioni alternative per nessuna delle due vulnerabilità, ed entrambe sono corrette in VMware Workstation 26H1u1 e VMware Fusion 26H1u1. Chiunque utilizzi una versione precedente dovrebbe applicare l'aggiornamento prima di avviare una macchina virtuale.

Lo sfruttamento riuscito dipende dal fatto che un utente malintenzionato disponga già di privilegi amministrativi locali all'interno di una macchina virtuale. Tale accesso non è qualcosa che le falle possono creare da sole, ma può essere ottenuto attraverso un compromesso separato come un messaggio di phishing o una configurazione utente debole. Broadcom dichiara che non ci sono prove che nessuna delle due falle sia stata sfruttata finora in attacchi reali. Tuttavia, i prodotti VMware rimangono un bersaglio frequente perché si trovano tra il sistema operativo e le macchine virtuali, e una fuga riuscita può minare la sicurezza di tutto ciò che gira sullo stesso host.

L'aggiornamento arriva in un contesto di altri attacchi a VMware. Il mese scorso, è stato osservato che attori malintenzionati sfruttavano attivamente due vulnerabilità separate in VMware vCenter, una piattaforma di gestione centrale per l'infrastruttura VMware, CVE-2026-59309 e CVE-2026-59310, con la seconda sospettata di essere stata armata da un attore APT (Advanced Persistent Threat), un gruppo ben finanziato che si intrufola silenziosamente nei sistemi e vi rimane per lunghi periodi, con collegamenti alla Cina. Secondo la fonte, questa attività è iniziata cinque giorni di calendario dopo la divulgazione pubblica e si stima abbia raggiunto 361 indirizzi IP vittime unici in 47 paesi. Il maggior numero di infezioni è stato osservato in Germania (55), seguito da Stati Uniti (41), Turchia (38), Iran (26) e Francia (25).

Per i proprietari di siti web e i team IT, le lezioni sono semplici. Le macchine virtuali sono spesso utilizzate per testare software, eseguire sistemi legacy o isolare attività rischiose, ma forniscono una reale separazione solo se l'host e l'hypervisor, il software sottostante che crea e gestisce le macchine virtuali, vengono mantenuti aggiornati. Applicare gli aggiornamenti VMware Workstation 26H1u1 e VMware Fusion 26H1u1 chiude i due nuovi percorsi di fuga divulgati. I team che applicano regolarmente patch all'infrastruttura di virtualizzazione riducono la probabilità che un compromesso minore di un account all'interno di una VM di test possa diventare una grave violazione della macchina host. Per i gruppi IT che eseguono VMware Workstation o Fusion in ambienti di laboratorio o di sviluppo, la pratica di consulenza IT e di sicurezza-first di AEU-I può aiutare a mantenere le patch e l'indurimento dell'host in un ciclo di revisione regolare.