A Broadcom divulgou atualizações de segurança para duas falhas que afetam o VMware Workstation e o VMware Fusion, incluindo um bug crítico que pode levar à execução arbitrária de código em determinadas condições.
A vulnerabilidade, identificada como CVE-2026-59346 e com pontuação CVSS de 9,3, é uma falha de estouro de inteiro que pode ser explorada por um invasor local com privilégios elevados para executar código arbitrário.
“Um agente malicioso com privilégios administrativos locais em uma máquina virtual com o adaptador de rede virtual VMXNET3 pode explorar este problema para executar código no host”, informou a Broadcom em um alerta.
A empresa creditou @h4urek, @cameudis e Stan S pela descoberta da falha.
A Broadcom também corrigiu uma vulnerabilidade de estouro de buffer baseada em pilha no HGFS, identificada como CVE-2026-59347 e com pontuação CVSS de 8,1. Nesse caso, a falha pode ser explorada por um invasor com privilégios administrativos locais em uma máquina virtual para executar código como o processo VMX da máquina virtual em execução no host.
Yeonghyeon Choi e Tianchu Chen, do Tencent Xuanwu Lab, foram reconhecidos pelo relato da vulnerabilidade.
Nos dois casos, a exploração bem-sucedida depende de o invasor já ter privilégios administrativos locais, embora seja importante destacar que eles podem ser obtidos por meio de uma invasão separada, como phishing ou o aproveitamento de configurações fracas de usuário.
As duas vulnerabilidades afetam as versões 25H2 e 26H1 do VMware Workstation e do VMware Fusion. A Broadcom afirmou que não há soluções alternativas para mitigar as falhas e acrescentou que elas foram corrigidas no VMware Workstation 26H1u1 e no VMware Fusion 26H1u1.
Embora não haja evidências de exploração dessas falhas em ataques reais, vulnerabilidades em produtos VMware costumam atrair a atenção de invasores.
No mês passado, por exemplo, threat actors foram observados explorando ativamente duas falhas no VMware vCenter, CVE-2026-59309 e CVE-2026-59310. A segunda é suspeita de ter sido transformada em arma por um ator de ameaça APT com vínculo com a China.
A atividade, que começou cinco dias após a divulgação pública da falha, teria comprometido 361 endereços IP de vítimas únicas em 47 países. A maior parte das infecções se concentrou na Alemanha, com 55 casos, nos Estados Unidos, com 41, na Turquia, com 38, no Irã, com 26, e na França, com 25.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...