Security · 5.9.2026
Broadcom schließt eine kritische Schwachstelle in VMware Workstation und Fusion, die das Ausführen von beliebigem Code auf dem Hostsystem ermöglicht.
Broadcom hat wichtige Sicherheitsupdates für VMware Workstation und VMware Fusion veröffentlicht, um zwei Schwachstellen zu beheben. Die kritischste der beiden Schwachstellen wird unter der Kennung CVE-2026-59346 geführt und weist einen CVSS-Score von 9,3 auf. Es handelt sich dabei um einen Integer-Überlauf, der es Angreifern mit administrativen Rechten innerhalb einer virtuellen Maschine ermöglicht, unter bestimmten Bedingungen beliebigen Programmcode auf dem zugrundeliegenden Host-System auszuführen.
Im DACH-Raum gehören VMware Workstation (für Windows und Linux) sowie VMware Fusion (für macOS) zur Standardausstattung vieler IT-Abteilungen, Softwareentwickler und Systemadministratoren. Ein sogenannter VM-Escape, also das Ausbrechen aus der isolierten Umgebung einer virtuellen Maschine auf das Host-System, stellt ein maximales Sicherheitsrisiko dar. Wenn Angreifer die Kontrolle über ein Gast-System erlangen, können sie über diese Schwachstelle die physische Hardware kompromittieren. Da Admin- und Entwickler-PCs in Unternehmensnetzwerken oft über weitreichende Zugriffsrechte verfügen, ist der potenzielle Schaden für die gesamte IT-Infrastruktur extrem hoch.
IT-Verantwortliche und Administratoren sollten umgehend prüfen, welche Versionen von VMware Workstation und Fusion auf den Clients im Unternehmen installiert sind. Broadcom hat bereits fehlerbereinigte Versionen veröffentlicht, die unverzüglich eingespielt werden müssen. Die Verteilung dieser Patches sollte im Rahmen des Update-Managements höchste Priorität erhalten. Da für den Missbrauch der Schwachstelle administrative Rechte innerhalb der VM notwendig sind, sollte zudem das Prinzip der minimalen Rechtevergabe (Least Privilege) auch in virtuellen Testumgebungen strikt angewendet werden. Nutzer älterer Lizenzversionen ohne aktiven Support sollten zeitnah ein Upgrade in Erwägung ziehen, um weiterhin Sicherheitsupdates zu erhalten.
Die Schwachstelle zeigt erneut, dass Virtualisierung keine absolute Barriere bietet. Nur durch ein konsequentes Patch-Management und eine restriktive Rechteverteilung lässt sich die Sicherheit an den sensiblen Schnittstellen zwischen Host und Gast dauerhaft gewährleisten.
Quelle: The Hacker News