En kritisk brist i desktopvirtualiseringens viktigaste gräns

Broadcom publicerade VMSA-2026-0007 den 3 september 2026 för VMware Workstation och VMware Fusion. Bulletinen omfattar två minnesfel som kan föra kodkörning från en virtuell maskin till den fysiska värden. Den allvarligaste posten, CVE-2026-59346, ligger i den virtuella nätverksadaptern VMXNET3 och har CVSS 3.1 på 9,3. CVE-2026-59347 ligger i HGFS, mekanismen bakom delade mappar, och har CVSS 3.1 på 8,1. Broadcom klassar hela bulletinen som Critical.

Detta är inte en oautentiserad attack direkt från internet. För båda sårbarheterna anger Broadcom att angriparen först behöver lokala administratörsrättigheter i gästsystemet. Det minskar sannolikheten jämfört med en förhandsautentiserad nätverksattack, men tar inte bort huvudproblemet: Workstation och Fusion används ofta just för att hålla testkod, kundavbilder, utbildningsmiljöer och ibland skadlig kod borta från värdens operativsystem och data. När en privilegierad gästprocess kan nå värden kan den säkerhetsmodellen fallera.

Broadcom säger att bristerna rapporterades privat och anger inga kända attackkampanjer. Varken aktiv exploatering eller en fungerande offentlig PoC har kunnat verifieras i de granskade källorna. LabOps IT klassar ändå uppdateringen som Hög för berörda installationer och som Akut i miljöer där okända eller opålitliga virtuella maskiner körs regelbundet, exempelvis analysstationer, utbildningssalar och delade utvecklingsvärdar.

CVE-2026-59346: VMXNET3 kan ge kodkörning på värden

CVE-2026-59346 är ett heltalsöverskridande i Workstation och Fusion. Den kända angreppsvägen går genom en virtuell maskin som använder nätverksadaptern VMXNET3. En angripare med lokala administratörsrättigheter i gästen kan enligt Broadcom utnyttja felet för att köra kod på värden. Scope ändras alltså från gäst till värd, vilket är en central förklaring till det höga CVSS-värdet 9,3 och leverantörens Critical-klassning.

I ett hemlabb kan förkravet uppstå när en nedladdad appliance, testavbild eller återställd backup redan innehåller ett privilegierat konto eller skadlig kod. I ett företagslabb kan samma situation följa av att flera utvecklare delar värd, att en komprometterad byggkedja producerar en VM eller att säkerhetsteamet medvetet analyserar fientlig kod. Administratörsrätt i en gäst ska normalt inte ge rättigheter på den bärbara dator eller arbetsstation där hypervisorn körs; det är just den gränsen sårbarheten hotar.

Broadcom har inte publicerat någon workaround. Att byta bort VMXNET3 kan framstå som en rimlig tillfällig riskreduktion för just denna angreppsyta, men leverantören räknar inte det som en verifierad lösning. Ett adapterbyte kan dessutom ändra drivrutiner, nätverksnamn, MAC-kopplingar och prestanda i gästen. Det bör därför endast göras som en kontrollerad exponeringminskning när omedelbar uppdatering är omöjlig, aldrig som ersättning för 26H1u1.

CVE-2026-59347: delade mappar når VMX-processen

CVE-2026-59347 är ett stackbaserat buffertöverskridande i HGFS. En angripare med lokala administratörsrättigheter i gästen kan utnyttja felet för att köra kod i den VMX-process som körs på värden. Broadcom klassar posten som Important med CVSS 3.1 på 8,1. Angreppskomplexiteten är högre än för VMXNET3-felet, men konsekvensen passerar fortfarande virtualiseringsgränsen.

Delade mappar är praktiska eftersom de låter gästen läsa eller skriva filer på värden utan ett vanligt nätverksprotokoll. Samma bekvämlighet skapar en uttrycklig kanal mellan säkerhetszonerna. Stäng av onödiga delningar, särskilt för virtuella maskiner som hanterar opålitlig kod, och kontrollera både permanenta och tillfälliga mappkopplingar. Detta minskar exponeringen, men Broadcom anger även här ingen workaround. Endast uppdateringen räknas som korrigering.

VMXNET3 och HGFS är två olika vägar över gästgränsen. Uppdateringen till 26H1u1 lägger korrigeringen på värdsidan där Workstation eller Fusion kör VMX-processen.

Berörda och korrigerade versioner

Broadcoms svarsmatris är ovanligt enkel. VMware Workstation 25H2 och 26H1 påverkas på samtliga stödda värdplattformar. VMware Fusion 25H2 och 26H1 påverkas på macOS. För båda produkterna är den korrigerade versionen 26H1u1. Bulletinens matris listar inte ESXi eller vCenter Server för dessa två CVE:er; administratörer ska därför inte blanda ihop VMSA-2026-0007 med tidigare vSphere-bulletiner som har egna patchnivåer och angreppsytor.

Kontrollera den installerade produktversionen på varje fysisk värd, inte bara versionsnumret i VMware Tools inne i gästen. Inventeringen bör omfatta bärbara utvecklardatorer, jump hosts, utbildningsdatorer, supportmaskiner, säkerhetslabb och fristående labbservrar. Workstation och Fusion kan ligga utanför den vanliga serverinventeringen trots att de kör images med åtkomst till känsliga nätverk eller företagsdata.

Uppgraderingen från 25H2 eller 26H1 till 26H1u1 bör göras på värden med samtliga virtuella maskiner avstängda eller säkert pausade enligt den lokala ändringsrutinen. Säkerhetskopiera viktiga VM-konfigurationer och verifiera att kritiska snapshots inte är den enda återställningsvägen. Efter installationen ska den faktiska Workstation- eller Fusion-versionen kontrolleras, värden startas om om installationsprogrammet kräver det och representativa gäster provstartas.

Uppdateringen påverkar även Secure Boot-arbetet

Releaseinformationen för 26H1u1 innehåller mer än de två CVE-fixarna. Workstation får automatiserad hantering av virtuella maskiners Secure Boot Platform Key, bland annat för det ogiltiga nyckelläget VMW.NULLPK. För Windowsgäster med vTPM används en capsule-baserad uppdatering som ska kunna byta plattformsnyckeln utan att störa TPM-baserade applikationer. Funktionen förutsätter VMware Tools 13.1.5 eller senare, och Broadcom anger att gästen först behöver Windows kumulativa uppdatering från juli 2026 eller senare för att PK-drivrutinen ska kunna installeras.

Det innebär att säkerhetsuppdateringen bör behandlas som ett litet förändringspaket snarare än en blind klientuppgradering. Kontrollera ordningen för Windows Update, VMware Tools och hypervisorversion på några representativa gäster. Testa BitLocker eller annan TPM-bunden funktion där sådan används, och verifiera Secure Boot-status efter omstart. Uppgradera inte alla labbvärdar samtidigt om de används för återställning eller kompatibilitetstest.

Samtidigt får Secure Boot-detaljen inte bli ett skäl att skjuta upp VMSA-fixen. Om organisationen behöver längre testtid för plattformsnyckelhanteringen bör de mest exponerade värdarna uppdateras först och opålitliga virtuella maskiner hållas avstängda på kvarvarande 25H2- och 26H1-installationer.

Praktisk prioritering och åtgärdsplan

  1. Akut – isolerings- och analysvärdar. Uppdatera omedelbart Workstation eller Fusion till 26H1u1 där virtuella maskiner från externa källor, malwareprover, kundavbilder eller elevmiljöer körs. Låt inga opålitliga gäster starta innan värdens version är verifierad.
  2. Hög – övriga 25H2- och 26H1-värdar. Inventera och uppdatera utvecklingsdatorer, supportmaskiner och hemlabb skyndsamt. Prioritera system där en gäst har tillgång till produktionsnät, källkod, autentiseringsuppgifter eller monterade värdmappar.
  3. Hög – minska exponeringen under väntetiden. Stäng av onödiga delade mappar och undvik VMXNET3 för riskgäster endast efter ett kontrollerat kompatibilitetstest. Håll gäster med okänt ursprung avstängda. Dessa steg är försiktighetsåtgärder, inte leverantörsgodkända workarounds.
  4. Planerad – verifiera efter uppdatering. Kontrollera produktversion, nätverksanslutning, delade mappar, USB-enheter, snapshots, krypterade VM:er och automation. För Windowsgäster med Secure Boot eller vTPM bör även VMware Tools, juliuppdateringen eller senare, Platform Key och TPM-bundna funktioner dokumenteras.
  5. Planerad – jaga skugginstallationer. Sök efter Workstation och Fusion i endpointhantering och programinventering. Desktophypervisorer som installerats av utvecklare eller tekniker missas lätt av en patchprocess som bara täcker datacenterprodukter.

Driftpåverkan är normalt kort men konkret: virtuella maskiner måste stoppas eller pausas, värdapplikationen uppdateras och kompatibilitet verifieras. På en ensam labbvärd innebär det ett avbrott för samtliga gäster. På en utvecklardator kan nätverksbryggor, USB-pass-through, delade mappar och verktygsintegration behöva testas innan arbetet återupptas. Planera därför ett fokuserat fönster, men låt inte frånvaron av aktivt utnyttjande göra att uppdateringen hamnar i en obestämd backlogg.

LabOps IT:s bedömning

VMSA-2026-0007 är Hög för de flesta berörda LabOps-miljöer eftersom båda angreppen kräver administratörsrätt i gästen och det saknas verifierad aktiv exploatering eller offentlig fungerande PoC. Prioriteten blir Akut när Workstation eller Fusion är själva sandlådan för opålitlig kod. Där är gästadmin inte ett osannolikt specialfall utan en del av hotmodellen.

Den viktigaste missuppfattningen att undvika är att en VM alltid är en tillräcklig isoleringsgräns. Virtuella nätverkskort, delade mappar, USB, clipboard och andra integrationsfunktioner är kodvägar in i värdens hypervisorprocesser. När Broadcom både klassar bulletinen som Critical och anger att workaround saknas bör 26H1u1 behandlas som den enda färdiga åtgärden.

För driftteamet är rätt ordning: hitta desktophypervisorerna, stoppa riskgästerna, uppdatera värdapplikationen, verifiera exakta versioner och testa integrationsfunktionerna. Dokumentera separat att VMSA-2026-0007 gäller Workstation och Fusion; den ersätter inte patchkontrollen för ESXi, vCenter eller VCF.

Källor