Broadcom corrige falhas críticas no VMware Workstation e Fusion
A Broadcom liberou atualizações de segurança para corrigir duas vulnerabilidades graves no VMware Workstation e no VMware Fusion. Os problemas podem permitir que um invasor, inicialmente dentro de uma máquina virtual, ultrapasse a camada de isolamento e execute comandos no sistema operacional hospedeiro.
O alerta foi publicado no comunicado VMSA-2026-0007 e envolve as falhas CVE-2026-59346 e CVE-2026-59347. A primeira é considerada crítica e recebeu nota 9,3 no sistema CVSSv3. A segunda foi classificada como de alta severidade, com pontuação 8,1.
Falha no VMXNET3 pode permitir escape da máquina virtual
A vulnerabilidade mais grave, identificada como CVE-2026-59346, está relacionada a um estouro de inteiro no adaptador de rede virtual VMXNET3. Esse componente é usado para fornecer conectividade de rede de alto desempenho às máquinas virtuais.
Para explorar o problema, o atacante precisa ter privilégios administrativos dentro de uma máquina virtual configurada com o adaptador vulnerável. Depois de obter esse nível de acesso, ele pode provocar condições que possibilitam a execução de código no host físico ou no sistema operacional que executa o hipervisor.
Esse tipo de exploração é conhecido como escape de máquina virtual. Na prática, a ameaça rompe a separação esperada entre o ambiente convidado e o computador hospedeiro. Caso seja bem-sucedido, o ataque pode dar acesso a arquivos, processos, credenciais e outros recursos que deveriam permanecer fora do alcance da VM.
A falha foi identificada separadamente por h4urek, pesquisador do secsys lab, e por Y² e Stan S, ligados à TrendAI Zero Day Initiative. A descoberta independente por diferentes pesquisadores reforça a relevância técnica do problema e a necessidade de tratar a atualização como prioridade.
Vulnerabilidade no recurso de pastas compartilhadas
A segunda falha, CVE-2026-59347, afeta o HGFS, mecanismo responsável por viabilizar o compartilhamento de diretórios entre a máquina virtual e o host. Nesse caso, trata-se de um estouro de buffer baseado em pilha.
Assim como ocorre com a vulnerabilidade do VMXNET3, a exploração exige privilégios administrativos no sistema convidado. Um invasor que consiga controlar uma VM com o recurso de pastas compartilhadas habilitado pode tentar explorar o erro para executar código fora do ambiente virtualizado.
Pastas compartilhadas são frequentemente ativadas para facilitar a troca de documentos entre o sistema hospedeiro e a máquina convidada. Entretanto, esse recurso amplia a superfície de ataque e deve ser habilitado apenas quando houver necessidade operacional.
Quais versões estão vulneráveis
Segundo a Broadcom, os produtos afetados são:
– VMware Workstation 25H2;
– VMware Workstation 26H1;
– VMware Fusion 25H2;
– VMware Fusion 26H1.
O Workstation é utilizado principalmente em computadores com Windows e Linux, enquanto o Fusion atende ambientes macOS. As versões vulneráveis podem estar presentes em diferentes configurações de sistema hospedeiro, por isso a verificação deve considerar tanto a edição instalada quanto a versão exata do produto.
A correção está disponível na versão 26H1u1. Administradores e usuários devem atualizar o software assim que possível, especialmente em ambientes corporativos, laboratórios de testes, estações de desenvolvimento e computadores que executam máquinas virtuais com acesso a dados sensíveis.
Não há medida paliativa
A Broadcom informa que não existem mecanismos de mitigação capazes de eliminar o risco. Dessa forma, desativar temporariamente um recurso específico ou alterar uma configuração não substitui a instalação da versão corrigida.
Enquanto a atualização não puder ser aplicada, organizações podem reduzir a exposição evitando o uso de máquinas virtuais não confiáveis, restringindo privilégios administrativos dentro dos sistemas convidados e desativando recursos desnecessários, como pastas compartilhadas e dispositivos virtuais que não sejam essenciais. Essas ações, contudo, devem ser entendidas apenas como redução temporária de risco.
Também é recomendável limitar a interação entre máquinas virtuais e o host, controlar o acesso a imagens de VM e impedir que usuários comuns instalem ou executem ambientes virtualizados sem supervisão.
Como priorizar a correção
A atualização deve receber prioridade máxima em computadores usados para abrir arquivos desconhecidos, testar códigos, analisar amostras suspeitas ou executar sistemas operacionais obtidos de fontes externas. Nesses cenários, a máquina virtual costuma ser tratada como uma barreira de segurança; uma falha de escape compromete justamente essa proteção.
Equipes de tecnologia devem levantar todos os dispositivos que utilizam VMware Workstation ou Fusion, identificar as versões instaladas e confirmar se o pacote 26H1u1 foi aplicado. O inventário precisa incluir notebooks corporativos, estações de desenvolvedores e máquinas fora do ambiente tradicional de servidores.
Depois da instalação, é importante validar a versão do produto, reiniciar os componentes quando solicitado e confirmar se as máquinas virtuais continuam funcionando corretamente. Em ambientes empresariais, a atualização deve ser testada primeiro em um grupo controlado, sem adiar a correção por períodos prolongados.
Atenção a imagens e ferramentas auxiliares
A aplicação do patch no VMware Workstation ou Fusion não elimina automaticamente riscos presentes dentro das máquinas virtuais. Sistemas convidados também precisam estar atualizados, principalmente aqueles que possuem contas administrativas expostas, serviços de rede ativos ou acesso a informações corporativas.
Imagens antigas devem ser revisadas antes de serem reutilizadas. Snapshots, discos virtuais e modelos armazenados podem conter configurações vulneráveis, credenciais ou ferramentas desatualizadas. A organização deve garantir que novas VMs sejam criadas a partir de modelos confiáveis e mantidos sob controle.
Histórico recente envolvendo o VMXNET3
Em julho, a Broadcom publicou o comunicado VMSA-2026-0006, relacionado à vulnerabilidade CVE-2026-47876, também localizada no adaptador VMXNET3. A repetição de problemas no mesmo componente demonstra a importância de acompanhar os boletins de segurança e manter o VMware atualizado de forma contínua.
O VMXNET3 oferece benefícios de desempenho e compatibilidade, mas sua presença em várias máquinas virtuais torna qualquer falha potencialmente relevante. Organizações que utilizam esse adaptador como padrão devem incluir sua configuração nos processos regulares de auditoria e gestão de vulnerabilidades.
Recomendações práticas
Além de atualizar para a versão 26H1u1, as equipes responsáveis devem revisar as seguintes medidas:
– restringir privilégios administrativos dentro das máquinas virtuais;
– desativar pastas compartilhadas quando não forem indispensáveis;
– controlar o uso de dispositivos USB e interfaces virtuais;
– separar ambientes de teste de sistemas que armazenam dados reais;
– monitorar comportamentos anômalos no host e nas máquinas convidadas;
– registrar a aplicação do patch para fins de auditoria;
– revisar imagens, snapshots e modelos utilizados na criação de novas VMs.
A correção é especialmente importante porque o impacto potencial não se limita ao sistema convidado. Um comprometimento bem-sucedido pode afetar o host e, dependendo da arquitetura, outras máquinas virtuais executadas no mesmo equipamento. Por isso, a instalação da atualização deve ser tratada como uma ação de segurança urgente, e não apenas como uma manutenção rotineira do software.