Śledź Broadcom rozwiązał problem CVE-2026-59346, krytyczną podatność na przepełnienie całkowite, dotyczący VMware Workstation i VMware Fusion. Luka posiada wynik CVSS 9.3 i może pozwolić atakującemu z uprawnieniami administratora wewnątrz maszyny wirtualnej na przekroczenie granic wirtualizacji i wykonanie kodu na gospodarzu.
Problem leży w implementacji wirtualnego adaptera sieciowego VMXNET3 VMware. Udana eksploatacja może zamienić kompromitację izolowanego systemu operacyjnego gościa w kompromitację systemu goszczącego tę maszynę wirtualną, co znacznie zwiększa potencjalny wpływ w środowiskach wirtualizacji dla rozwoju, badań, testowania i przedsiębiorstw.
Broadcom wydał poprawki w VMware Workstation 26H1u1 i VMware Fusion 26H1u1. Podatność dotyczy gałęzi 25H2 i 26H1 obu produktów, a sprzedawca nie dostarczył obejścia, co sprawia, że aktualizacja jest głównym środkiem zaradczym.
Zespoły bezpieczeństwa mogą wykorzystać AI-Native Detection Intelligence Platform SOC Prime do wzmocnienia obrony przed pojawiającym się wykorzystywaniem podatności i przyspieszenia inżynierii detekcji. Zawartość detekcji można zastosować w ponad 40 technologiach SIEM, EDR i Data Lake, wzbogacając ją o istotny kontekst zagrożeń.
Uncoder AI może dodatkowo pomóc profesjonalistom ds. bezpieczeństwa w przekształceniu wywiadu zagrożeń w logikę detekcji, tworzeniu zapytań myśliwskich, weryfikacji i udoskonalaniu reguł, wizualizacji przepływów ataków oraz tłumaczeniu zawartości detekcji na różne platformy zabezpieczeń.
Analiza CVE-2026-59346
CVE-2026-59346 dotyczy instalacji VMware Workstation i Fusion używających podatnych wydań w połączeniu z maszyną wirtualną skonfigurowaną z wirtualnym adapterem sieciowym VMXNET3. Według Broadcom atakujący z lokalnymi uprawnieniami administracyjnymi wewnątrz takiej maszyny wirtualnej może wykorzystać lukę do wykonania kodu na gospodarzu.
Podatność jest spowodowana przepełnieniem całkowitym w implementacji wirtualnego urządzenia VMXNET3. Doradztwo techniczne TrendAI Zero Day Initiative dostarcza dodatkowego wglądu w podstawowy problem, zauważając, że niewystarczająca walidacja danych kontrolowanych przez atakującego może spowodować przepełnienie całkowite przed przydzieleniem bufora. Rezultatem tego może być uszkodzenie pamięci, co ostatecznie pozwoli na wykonanie dowolnego kodu w kontekście hipernadzorcy.
VMXNET3 to parawirtualizowany adapter sieciowy VMware, zaprojektowany w celu zapewnienia wysokiej wydajności sieci dla maszyn wirtualnych. Ponieważ podatny komponent przekracza granicę zaufania gość-gospodarz, eksploatacja jest szczególnie istotna: atakujący, który już kontroluje środowisko gościa na wystarczającym poziomie uprzywilejowania, mógłby potencjalnie opuścić to środowisko i wykonać kod na gospodarzu.
Broadcom przypisał temu problemowi maksymalny wynik CVSS v3.1 wynoszący 9.3 i sklasyfikował go jako Krytyczny. Podatność wymaga dostępu do gościa, a nie bezpośredniej eksploatacji przez sieć, ale nie jest wymagana żadna dodatkowa interakcja użytkownika, gdy atakujący uzyska wymagany poziom dostępu.
ZDI opisuje lukę bardziej szczegółowo jako dotyczące przetwarzania VMXNET3 TCP Segmentation Offload. Według jej analizy, nieprawidłowa walidacja może prowadzić do przepełnienia całkowitego podczas obliczania rozmiaru bufora. Atakujący, który potrafi manipulować odpowiednimi strukturami danych po stronie gościa, może wykorzystać ten stan do uszkodzenia pamięci w procesie wirtualizacji.
Wpływ na bezpieczeństwo wykracza zatem poza awarię lub stan odmowy usługi. Udany atak mógłby przekroczyć granicę wirtualizacji, potencjalnie ujawniając pliki, poświadczenia, aplikacje i inne zasoby dostępne dla systemu operacyjnego gospodarza.
Po opublikowaniu skoordynowanego ujawnienia, dostępny jest również publiczny CVE-2026-59346 PoC. Opublikowane badanie demonstruje podatny VMXNET3 TSO z systemu Linux gościa i może spowodować awarię procesu VMware po stronie gospodarza. Jego dostępność zwiększa znaczenie aktualizacji podatnych systemów, choć PoC nastawiony na awarię nie powinien być automatycznie interpretowany jako dowód na niezawodne wykorzystanie kodu na odległość.
Broadcom przypisał zasługi h4urek z secsys lab, Y² oraz Stan S współpracującym z TrendAI Zero Day Initiative za niezależne zgłoszenie podatności. Zapisy ZDI pokazują, że raport został zgłoszony do sprzedawcy 26 sierpnia 2026, po czym nastąpiło skoordynowane publiczne ujawnienie we wrześniu.
Na moment pisania nie ma potwierdzonych dowodów na aktywne wykorzystanie podatności w rzeczywistych atakach, a nie jest ona wymieniona w katalogu Znanych Eksploatowanych Podatności CISA. Niemniej jednak, dostępność publicznych badań technicznych może sprawić, że podatne systemy staną się coraz bardziej atrakcyjnymi celami.
W celu wykrycia CVE-2026-59346, zespoły bezpieczeństwa powinny monitorować hosty VMware pod kątem nieprawidłowych awarii vmware-vmx lub nieoczekiwanego zachowania procesów, skorelowanych z aktywnością pochodzącą z uprzywilejowanych systemów gości. Podejrzana niestabilność związana z VMXNET3 po nietypowej aktywności sieciowej również powinna wzbudzić dochodzenie.
Mitigacje dla CVE-2026-59346
Broadcom zaleca uaktualnienie VMware Workstation i VMware Fusion do wersji 26H1u1, co rozwiązuje problem podatności. Matryca reakcji sprzedawcy wymienia obie gałęzie 25H2 i 26H1 jako dotknięte i stwierdza, że nie jest dostępne obejście.
Organizacje powinny zatem dać priorytet wdrożeniu poprawek na systemach, na których użytkownicy uruchamiają nieufne, zewnętrznie pozyskane lub potencjalnie skompromitowane maszyny wirtualne. Stanowiska robocze dla rozwoju, środowiska analizy złośliwego oprogramowania, systemy badawcze i inne punkty końcowe, w których systemy operacyjne gości rutynowo przetwarzają nieufne treści, zasługują na szczególną uwagę.
Ponieważ eksploatacja wymaga podniesionej kontroli wewnątrz gościa, organizacje powinny również zmniejszyć prawdopodobieństwo, że atakujący będą mogli uzyskać uprawnienia administratora lub root w obrębie maszyn wirtualnych. Stosowanie aktualizacji zabezpieczeń dla systemów operacyjnych gości, ograniczanie kont administracyjnych, używanie zasady najmniejszej uprzywilejowania oraz ochrona uprzywilejowanych poświadczeń mogą zmniejszyć możliwości dotarcia do podatnej ścieżki kodu VMXNET3.
Gdzie pozwalają na to wymagania operacyjne, zespoły bezpieczeństwa mogą przeanalizować, czy poszczególne maszyny wirtualne potrzebują sieci VMXNET3, dopóki poprawki nie zostaną zakończone. Jednak Broadcom nie opublikował oficjalnego obejścia, więc zmiany konfiguracji nie powinny być traktowane jako substytut instalacji poprawionego wydania VMware.
Aby wykryć eksploatację CVE-2026-59346, obrońcy mogą skorelować uprzywilejowane działania wewnątrz gości VMware z awariami po stronie gospodarza, nieprawidłowymi procesami hipernadzorcy, nieoczekiwanym wykonaniem procesów podrzędnych lub innymi dowodami na to, że aktywność przekroczyła VM do środowiska gospodarza.
Organizacje powinny również monitorować nowo opublikowane badania eksploatacyjne i wskaźniki zachowań, ponieważ badacze bezpieczeństwa nadal analizują tę lukę. Obecnie nie ma dostępnych atakowych, specyficznych dla CVE-2026-59346 IOCs opublikowanych przez dostawców, ponieważ nie przypisano tej podatności potwierdzonej kampanii w rzeczywistym świecie.
Platforma AI-Native Detection Intelligence SOC Prime może pomóc zespołom bezpieczeństwa przyspieszyć poszukiwanie zagrożeń i inżynierię detekcji wokół eksploatacji nowych podatności, jednocześnie dostosowując logikę detekcji do ich specyficznej telemetrii i stosu zabezpieczeń.
FAQ
Czym jest CVE-2026-59346 i jak działa?
CVE-2026-59346 to krytyczna podatność na przepełnienie całkowite w implementacji wirtualnego adaptera sieciowego VMXNET3, używanego przez VMware Workstation i Fusion. Atakujący z uprawnieniami administratora wewnątrz maszyny wirtualnej może manipulować danymi kontrolowanymi przez gościa w sposób wyzwalający uszkodzenie pamięci w procesie wirtualizacji po stronie gospodarza, co potencjalnie umożliwia wykonanie dowolnego kodu na gospodarzu.
Kiedy po raz pierwszy odkryto CVE-2026-59346?
Broadcom nie podaje pojedynczej daty początkowego odkrycia, ponieważ problem został niezależnie zgłoszony przez wielu badaczy. Harmonogram ujawniania ZDI stwierdza, że Stan S zgłosił podatność do dostawcy 26 sierpnia 2026. Broadcom opublikował VMSA-2026-0007 dnia 3 września 2026.
Jaki jest wpływ CVE-2026-59346 na systemy?
Udana eksploatacja może umożliwić atakującemu z uprzywilejowanym dostępem wewnątrz podatnej VM opuszczenie granicy bezpieczeństwa gościa i wykonanie dowolnego kodu na hoście VMware. Może to ujawnić dane gospodarza i potencjalnie zapewnić dostęp do innych zasobów dostępnych z zainfekowanego stanowiska roboczego.
Czy CVE-2026-59346 może wciąż mnie dotyczyć w 2026 roku?
Tak. VMware Workstation i Fusion 25H2 oraz 26H1 pozostają podatne, jeśli nie zostały zaktualizowane do 26H1u1. Dostępne jest publiczne badanie dowodowe koncepcji, chociaż nie udokumentowano żadnej potwierdzonej aktywnej kampanii eksploatacyjnej w przeglądanych źródłach.
Jak mogę się chronić przed CVE-2026-59346?
Uaktualnij VMware Workstation lub VMware Fusion do wersji 26H1u1 lub nowszej, bezpiecznej wersji. Broadcom nie zapewnia oficjalnego obejścia, więc aktualizacja powinna być priorytetem. Organizacje powinny dodatkowo ograniczyć dostęp administracyjny wewnątrz maszyn wirtualnych, monitorować zachowanie hostów VMware pod kątem nietypowej aktywności oraz przeglądać najnowsze szczegóły dotyczące CVE-2026-59346 wraz z pojawianiem się nowych badań eksploatacyjnych.
