Se ha publicado una prueba de concepto (PoC) para la vulnerabilidad CVE-2026-59346, un fallo crítico de desbordamiento de enteros en el adaptador de red virtual VMXNET3 de VMware. Este error podría permitir que un atacante con acceso administrativo en una máquina virtual invitada ejecute código en el host, aunque la prueba actual solo muestra el cierre inesperado (crash) de un proceso del host.

Ya está disponible una prueba de concepto (PoC) pública para CVE-2026-59346, un fallo crítico de desbordamiento de enteros en el adaptador de red virtual VMXNET3 de VMware, publicada por 0xCyberstan.

El fallo puede permitir que un atacante con acceso administrativo dentro de una máquina virtual invitada ejecute código en el anfitrión. Sin embargo, la PoC publicada muestra un bloqueo del proceso del anfitrión, no un exploit de ejecución de código funcional.

Broadcom califica la vulnerabilidad con un 9.3 en la escala CVSSv3 y la parcheó en VMware Workstation y Fusion 26H1u1, lanzada el 3 de septiembre de 2026.

Su aviso indica que las versiones 25H2 y 26H1 de Workstation y Fusion están afectadas. El aviso de seguridad del proveedor establece que no existe ninguna solución alternativa.

El fallo se encuentra en la ruta de procesamiento de TCP Segmentation Offload (TSO) dentro del proceso VMware-VMX del anfitrión. El TSO divide un paquete de red grande en segmentos más pequeños. La rutina vulnerable calcula cuánta memoria necesitan esos segmentos multiplicando el recuento de segmentos por el espacio requerido para cada uno.

Ese cálculo utiliza una multiplicación de 32 bits. Cuando el resultado excede el rango que pueden contener 32 bits, se reinicia a un valor menor. El anfitrión entonces asigna un búfer utilizando ese tamaño reducido.

Mientras tanto, el bucle de copia sigue ejecutándose a través del recuento de segmentos original. En consecuencia, los datos del paquete controlados por el invitado se escriben más allá del búfer asignado.

El investigador vincula esta debilidad con la misma ruta de código previamente parcheada para CVE-2025-41236. Aquellas comprobaciones anteriores limitaban los campos individuales de los paquetes y su suma a 9,216, pero no validaban el resultado final de la multiplicación.

PoC publicada para el fallo de VMware VMXNET3

Como resultado, las entradas por debajo de esos límites aún podrían provocar un desbordamiento. Cyber Security News ya cubrió la vulnerabilidad anterior de VMware VMXNET3, proporcionando contexto para esta renovada preocupación.

Disponible a través del repositorio de GitHub, la PoC se ejecuta como un módulo del kernel de Linux dentro de un invitado con un adaptador VMXNET3. Escribe descriptores de transmisión de red directamente, saltándose el manejo normal de TSO del controlador del invitado, antes de pedir al anfitrión que los procese. Esto requiere privilegios suficientes dentro del invitado; no se trata de un ataque de red remoto no autenticado.

La escritura resultante fuera de límites alcanza la memoria no mapeada y provoca que vmware-vmx se bloquee con un fallo de segmentación, apagando la máquina virtual afectada.

El repositorio de 0xCyberstan advierte que las pruebas podrían destruir el estado no guardado del invitado y documenta un entorno de prueba utilizando VMware Workstation Pro 25.0.1 en un anfitrión Ubuntu con un invitado Alpine Linux.

El aviso de Zero Day Initiative, publicado el 9 de septiembre, confirma que el fallo subyacente puede permitir la ejecución de código arbitrario en el contexto del hipervisor.

ZDI asigna una puntuación de 7.5, en comparación con el 9.3 de Broadcom. Ninguna de las dos evaluaciones cambia la distinción clave: la publicación pública demuestra la corrupción de memoria y un bloqueo, no la ejecución exitosa de código del invitado al anfitrión.

Debes instalar la versión 26H1u1 o una versión posterior compatible y comprobar las versiones del anfitrión, en lugar de asumir que las actualizaciones del sistema operativo invitado solucionan el problema. La matriz de respuesta de Broadcom identifica las actualizaciones del producto anfitrión como el remedio.

 La PoC pública ahora te ofrece a ti, como defensor, un caso de reproducción concreto. Sin embargo, las pruebas deben realizarse únicamente en entornos autorizados y aislados porque bloquean deliberadamente el proceso de la VM afectada.

Fuentes:
https://cybersecuritynews.com/vmware-vmxnet3-flaw-poc/