VMware FusionのTOCTOUによる権限昇格の脆弱性
Broadcomが2026年5月14日に公表したアドバイザリVMSA-2026-0003によると、VMware Fusionの脆弱性CVE-2026-41702を悪用すると、ローカルの非管理者ユーザーの権限を持つ悪意のある者が、Fusionを導入したシステムでrootに権限を昇格させうる［1］。影響を受けるのは25H2で、修正版は26H1である［1］。
脆弱性の内容
Broadcomによると、脆弱性はSETUIDバイナリが実行する処理の中で起きるTOCTOU（Time-of-check Time-of-use）である［1］。Broadcomは非公開で報告を受け、アドバイザリで報告者に謝辞を述べた［1］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Broadcom | アドバイザリVMSA-2026-0003を公表し、VMware WorkstationとVMware Fusionの26H1の一般提供を発表した | ［1、3］ |
| 2026年 | カナダのサイバーセキュリティセンター | AV26-469で26H1より前のVMware Fusionを対象とするBroadcomのアドバイザリを取り上げ、利用者と管理者に更新の適用を勧めた | ［6］ |
| 2026年 | CVE Program | CNAのVMwareが登録したCVE-2026-41702のレコードを公開した | ［4］ |
| 2026年 | CISA | ADP（Vulnrichment）としてCVEレコードにSSVCの評価を加えた | ［4］ |
| 2026年 | NVD | CVE-2026-41702のレコードを公開した | ［5］ |
| 2026年 | JPCERT/CC | Weekly Reportで「VMware Fusionに権限昇格の脆弱性」を取り上げ、修正済みの版への更新で解決するとした | ［7］ |
修正と回避策
Broadcomはアドバイザリで、Response Matrixの「Fixed Version」列にあるパッチの適用を修正の手段に挙げ、回避策は無いとした［1］。
Broadcomのリリースノートによると、VMware Fusion Pro 26H1（ビルド25388279）はセキュリティとバグの修正を含み、CVE-2026-41702を解消する［2］。仮想マシンの作成時刻と最終起動時刻の記録、ARMベースのESXホストへのリモート接続、Ubuntu 26.04 LTSなどのゲストOSのサポートもこの版で加わった［2］。Broadcomはブログで、26H1には機能面とセキュリティ面の改善が複数含まれると説明した［3］。
SecurityWeekは、Broadcomがベルリンのハッキング競技会Pwn2Ownに参加していた週にこの修正を発表したと報じた［9］。同じ記事によると、Broadcomはセキュリティチームの人員を競技会に送っていた［9］。
未公表の事項
- TOCTOUの脆弱性があるSETUIDバイナリの名前
- 攻撃コードの公開の状況
- CISAのKEVカタログへの登録の有無（NVDのレコードには10月26日の更新でも登録の項目が無い［5］）
出典
当事者
- ［1］Broadcom Inc.『VMSA-2026-0003: VMware Fusion updates address privilege escalation vulnerability (CVE-2026-41702)』（2026年5月14日公開）
- ［2］Broadcom Inc.『VMware Fusion 26H1 Release Notes』（2026年5月14日公開、2026年10月9日更新）
- ［3］Broadcom Inc.『VMware Workstation and Fusion 26H1: Performance, Visibility, and Modern Architecture』（2026年5月14日公開）
公的機関
- ［4］CVE Program『CVE-2026-41702 TOCTOU local privilege escalation vulnerability』（2026年5月15日公開）
- ［5］NIST National Vulnerability Database『CVE-2026-41702』（2026年5月15日公開、2026年10月26日更新）
- ［6］Canadian Centre for Cyber Security『Broadcom VMware security advisory (AV26-469)』（2026年5月14日公開）
- ［7］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC WEEKLY REPORT 2026-05-20』（2026年5月20日公開）
報道機関
- ［9］Wired Business Media『High-Severity Vulnerability Patched in VMware Fusion』（2026年5月14日公開）
更新記録
- 2026年5月21日：公開した。
- 2026年10月9日：Broadcomのリリースノートの10月9日の更新版（出典2）を加え、「修正と回避策」を改めた。
- 2026年10月26日：NVDの10月26日更新のレコード（出典5）の評価を「脆弱性の内容」の表1に、KEVの登録の項目の有無を「未公表の事項」に加えた。