Broadcom публикува актуализации за сигурност за две уязвимости, засягащи VMware Workstation и Fusion, включително една критична грешка, която при определени условия би могла да доведе до изпълнение на произволен код.

Уязвимостта, проследявана като CVE-2026-59346 (оценка по CVSS: 9.3), е уязвимост от тип препълване на цели числа (integer overflow), която локален атакуващ с повишени привилегии може да използва за изпълнение на произволен код.

„Злонамерен субект с локални администраторски привилегии във виртуална машина с виртуален мрежов адаптер VMXNET3 може да използва този проблем, за да изпълни код на хоста“, заявиха от Broadcom в бюлетин за сигурност.

Технологичният гигант изрази благодарност на @h4urek, @cameudis и Stan S за откриването на проблема.

Broadcom отстрани и уязвимост от тип препълване на буфера в стека (stack-based buffer-overflow) в HGFS (CVE-2026-59347, оценка по CVSS: 8.1), която може да бъде използвана от киберпрестъпник с локални администраторски привилегии във виртуална машина за изпълнение на код като VMX процес на виртуалната машина, работещ на хоста.

Yeonghyeon Choi и Tianchu Chen от Tencent Xuanwu Lab бяха отличени за съобщаването на тази уязвимост.

И в двата случая успешното използване на уязвимостите зависи от това дали атакуващият вече разполага с локални администраторски привилегии, въпреки че си струва да се отбележи, че те могат да бъдат получени чрез отделно компрометиране – например чрез фишинг или експлоатиране на слаби потребителски конфигурации.

Двете уязвимости засягат VMware Workstation и VMware Fusion версии 25H2 и 26H1. От Broadcom съобщиха, че няма налични временни решения (workarounds) за отстраняване на двете уязвимости, и добавиха, че те са коригирани във VMware Workstation 26H1u1 и VMware Fusion 26H1u1.

Въпреки че няма доказателства уязвимостите да са били експлоатирани активно, уязвимостите в продуктите на VMware традиционно привличат засилен интерес от страна на атакуващите.

Само през миналия месец бе наблюдавано как автори на заплахи активно експлоатират два недостатъка във VMware vCenter – съответно CVE-2026-59309 и CVE-2026-59310, като се подозира, че вторият е използван като оръжие от китайска APT група (Advanced Persistent Threat).

Оценява се, че тази активност, започнала пет календарни дни след публичното разкриване на уязвимостта, е довела до компрометиране на 361 уникални жертвени IP адреса в 47 държави. Повечето от инфекциите са концентрирани в Германия (55), САЩ (41), Турция (38), Иран (26) и Франция (25).