Dvě nově opravené chyby umožňují útočníkovi s právy správce uvnitř virtuálního stroje spustit kód přímo na hostitelském počítači, a obejít tak základní princip oddělení virtualizovaného prostředí.

Společnost Broadcom vydala opravu dvou zranitelností postihujících produkty VMware Workstation a Fusion ve verzích 25H2 a 26H1. Závažnější z nich, CVE-2026-59346 s hodnocením CVSS 9,3, je celočíselné přetečení ve virtuálním síťovém adaptéru VMXNET3. Útočník, který už má na hostovaném virtuálním počítači lokální administrátorská oprávnění, ji může zneužít ke spuštění vlastního kódu přímo na hostitelském systému – tedy k útěku z izolovaného prostředí virtuálního stroje ven. Druhá zranitelnost, CVE-2026-59347 s hodnocením CVSS 8,1, je přetečení zásobníku v komponentě HGFS (Host-Guest File System), sloužící ke sdílení souborů mezi hostitelem a hostovaným systémem, a umožňuje spuštění kódu s právy procesu VMX běžícího na hostiteli.

Obě chyby vyžadují, aby útočník už měl na hostovaném virtuálním počítači zvýšená oprávnění – k jejich získání přitom stačí úspěšný phishing nebo využití chybné konfigurace uvnitř virtuálního stroje. Pro žádnou z nich neexistuje dočasné řešení formou konfigurační úpravy; jediná cesta k nápravě je aktualizace na verzi VMware Workstation 26H1u1, respektive VMware Fusion 26H1u1. K aktivnímu zneužívání obou chyb zatím podle dostupných informací nedochází.

Kontext dodává minulý měsíc opravená dvojice zranitelností vCenteru, CVE-2026-59309 a CVE-2026-59310, kterou útočníci začali zneužívat už pátý den po zveřejnění záplaty – zasaženo bylo 361 IP adres ve 47 zemích, přičemž nejvíce obětí bylo zaznamenáno v Německu, Spojených státech, Turecku, Íránu a Francii, a za částí útoků je podle bezpečnostních firem podezřelá skupina napojená na Čínu. Produkty VMware tak zůstávají pro útočníky atraktivním cílem, protože prolomení hranice mezi virtuálním počítačem a hostitelem otevírá přístup ke všem dalším strojům běžícím na stejném fyzickém serveru nebo pracovní stanici.