Broadcom corrige duas falhas que quebram isolamento entre máquinas virtuais e host
A Broadcom lançou atualizações de segurança para duas vulnerabilidades no VMware Workstation e VMware Fusion, incluindo uma falha crítica que pode permitir que um invasor com privilégios administrativos dentro de uma máquina virtual execute código arbitrário no sistema operacional host.
A vulnerabilidade mais grave, identificada como CVE-2026-59346, recebeu pontuação CVSS de 9,3. Trata-se de uma falha de integer overflow que afeta ambientes utilizando o adaptador de rede virtual VMXNET3.
Segundo a Broadcom, um agente malicioso que já possua privilégios administrativos locais dentro da VM pode explorar a vulnerabilidade para executar código diretamente no host. Na prática, a falha rompe uma das principais barreiras de segurança da virtualização: o isolamento entre a máquina virtual e o sistema que a hospeda.
A empresa também corrigiu a CVE-2026-59347, classificada com CVSS 8,1. A vulnerabilidade é um stack-based buffer overflow no HGFS, recurso utilizado para compartilhamento de arquivos entre sistemas virtualizados e o host. Um invasor com privilégios administrativos na VM pode explorá-la para executar código no contexto do processo VMX no host.
A exploração das duas vulnerabilidades exige que o invasor já tenha privilégios administrativos locais dentro da máquina virtual. Esse acesso, porém, pode ser obtido anteriormente por outros vetores, como phishing, exploração de vulnerabilidades ou configurações inseguras.
As falhas afetam as versões 25H2 e 26H1 do VMware Workstation e VMware Fusion. A Broadcom corrigiu os problemas no VMware Workstation 26H1u1 e VMware Fusion 26H1u1. Não existem medidas alternativas capazes de mitigar completamente as duas vulnerabilidades, tornando a atualização a principal recomendação para ambientes afetados.
Até o momento, não existem evidências de exploração ativa das CVE-2026-59346 e CVE-2026-59347. O risco merece atenção, entretanto, porque vulnerabilidades em produtos VMware são frequentemente incorporadas a campanhas de ataque após sua divulgação.
Em agosto, por exemplo, duas vulnerabilidades no VMware vCenter, CVE-2026-59309 e CVE-2026-59310, foram exploradas apenas cinco dias após sua divulgação pública. A atividade teria comprometido 361 endereços IP de vítimas em 47 países, segundo os dados citados pelo The Hacker News.
