Broadcom ha emitido un aviso de seguridad crítico advirtiendo sobre dos vulnerabilidades recién descubiertas en VMware Workstation y Fusion. Estos fallos podrían permitir que los atacantes escapen de una máquina virtual y ejecuten código malicioso directamente en el sistema anfitrión, comprometiendo así la seguridad fundamental de la virtualización. El aviso ha sido registrado bajo el código VMSA-2026-0007.

Broadcom ha emitido un aviso de seguridad crítico advirtiendo que dos fallos recién revelados en VMware Workstation y Fusion podrían permitir que los atacantes escapen de una máquina virtual y ejecuten código malicioso directamente en el sistema anfitrión subyacente, un escenario que socava la promesa de seguridad fundamental de la virtualización.

El aviso, registrado como VMSA-2026-0007 y publicado el 3 de septiembre de 2026, detalla dos vulnerabilidades que afectan a los productos de virtualización de escritorio ampliamente utilizados de VMware. La más grave de las dos, CVE-2026-59346, es un fallo de desbordamiento de enteros en el adaptador de red virtual VMXNET3. Broadcom le otorga una puntuación máxima de CVSSv3 de 9.3, situándola firmemente en el rango crítico.

Según el aviso, un actor malintencionado que ya tenga privilegios administrativos locales en una máquina virtual configurada con un adaptador VMXNET3 podría explotar el fallo para ejecutar código en la propia máquina anfitriona, escapando efectivamente del entorno aislado de la VM.

El segundo problema, CVE-2026-59347, es una vulnerabilidad de desbordamiento de búfer basado en la pila en el Sistema de Archivos Host-Guest, mejor conocido como HGFS, que gestiona las carpetas compartidas entre una VM y su anfitrión.

Este fallo tiene una puntuación CVSSv3 de 8.1 y está clasificado como importante en lugar de crítico. Explotarlo permitiría a un atacante con acceso administrativo dentro de una VM invitada ejecutar código como el proceso VMX que se ejecuta en el anfitrión, dándole un punto de apoyo en las operaciones a nivel de host sin necesidad de vulnerar directamente el adaptador de red.

Ambas vulnerabilidades fueron reportadas privadamente a Broadcom en lugar de ser descubiertas a través de una explotación pública, y la empresa acreditó a múltiples equipos de investigación independientes por los hallazgos.

CVE-2026-59346 fue reportado por separado por el investigador h4urek de secsys lab y por Y² y Stan S, trabajando a través de la Zero Day Initiative de Trend Micro. CVE-2026-59347 fue reportado por Yeonghyeon Choi y Tianchu Chen del laboratorio Xuanwu de Tencent.

Las vulnerabilidades afectan a las versiones 25H2 y 26H1 de VMware Workstation ejecutándose en cualquier sistema operativo anfitrión, así como a las versiones 25H2 y 26H1 de VMware Fusion ejecutándose en macOS.

Broadcom ha lanzado la versión 26H1u1 para remediar ambos fallos en todas las líneas de productos afectadas. Notablemente, el aviso indica que no hay soluciones alternativas disponibles para ninguna de las dos vulnerabilidades, lo que significa que tú, como organización o usuario individual, no puedes mitigar el riesgo solo mediante cambios de configuración y debes aplicar el parche para estar protegido.

Dado que ambos fallos requieren solo privilegios administrativos locales dentro de una VM invitada para provocar un compromiso a nivel de host, si tienes equipos de seguridad que ejecuten VMware Workstation o Fusion en entornos de laboratorio, pruebas o análisis de malware, debes tratar este parche como una prioridad.

Las plataformas de virtualización se utilizan frecuentemente para aislar código no confiable, y una cadena de escape de VM funcional como esta podría permitir que los atacantes pasen de un sandbox contenido directamente a la infraestructura de producción.

Se recomienda a los administradores que actualicen a la versión 26H1u1 lo antes posible y que auditen qué máquinas virtuales utilizan adaptadores VMXNET3 o funciones de carpetas compartidas mientras tanto.

Fuentes:
https://cybersecuritynews.com/vmware-workstation-and-fusion-vulnerabilities/