VMware WorkstationとFusionのVMXNET3の脆弱性
VMware WorkstationとFusionの仮想ネットワークアダプタVMXNET3に整数オーバーフローの脆弱性CVE-2026-59346があり、VMXNET3を持つ仮想マシン上でローカル管理者権限を持つ悪意のある者が、ホスト上でコードを実行しうる［4］。SecurityOnlineの2026年10月8日の記事によると、報告者がPoCを公開したが、実際の悪用は報告されていない［12］。
脆弱性の内容
開発元とZDIの説明
| 項目 | CVE-2026-59346 | CVE-2026-59347 | 資料 |
|---|---|---|---|
| 箇所と種類 | VMXNET3の整数オーバーフロー | HGFSのスタックベースのバッファオーバーフロー | ［4、5］ |
| CWE | CWE-190 | CWE-121 | ［4、5］ |
| CVSS v3.1（VMware） | 9.3（CRITICAL）〔注1〕 | 8.1 | ［4、5］ |
| ベクトル | AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H | AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H | ［4、5］ |
CVE-2026-59347の記録では、悪用の条件は仮想マシン上のローカル管理者権限で、コードはホスト上で動く仮想マシンのVMXプロセスとして実行されうる［5］。Security NEXTは、Broadcomがアドバイザリの重要度を「クリティカル」とし、CVE-2026-59347の重要度を1段階低い「重要（Important）」としたと報じた［11］。
ZDIはアドバイザリZDI-26-647で、攻撃者は先に対象のゲストで高い権限のコードを実行できる必要があるとした［7］。欠陥はVMXNET3仮想デバイスの実装にある［7］。利用者が与えたデータの検証が不十分なため、バッファの確保の前に整数オーバーフローが起こりうる［7］。悪用すれば、ハイパーバイザーの文脈で任意のコードを実行できる［7］。
The Hacker Newsは、BroadcomがCVE-2026-59346の発見者として3者を挙げたと報じた［10］。CVE-2026-59347の報告者としては、Tencent Xuanwu Labの2人が謝辞に挙がった［10］。
TSOの処理と前年の修正
cyberstanに載った報告者の分析によると、VMXNET3はVMwareの準仮想化ネットワークアダプタで、最近のゲストの既定のNICである［8］。ゲストがTCP Segmentation Offload（TSO）のパケットを送ると、ホストのvmware-vmxがMSSの大きさの区分に分ける［8］。そのとき読み取る値の出どころは、すべてゲストが書いた記述子である［8］。ゲストの管理者は送信リングの記述子を直接作ってゲスト内のドライバーの検査を飛ばし、BAR0+0x600のドアベルのレジスタを鳴らしてホスト側の処理を始められる［8］。
報告者の説明では、この入口は前年にBroadcomが修正したVMXNET3のTSOのオーバーフローCVE-2025-41236と同じである［8］。その修正は分割の関数に4つの境界の検査を加えたが、どれも確保の大きさを決める乗算に及ばなかった［8］。同じ関数はなお32ビットの積を桁あふれさせ、ゲストが制御するバイトをホストのヒープのバッファの外に書き込む［8］。
報告者は、MSSを1にし、分割数が数十万になる長さのペイロードにすると、積seg_count * per_seg_sizeが2の32乗を超えると説明した［8］。確保は下位32ビットで行われるが、分割のループは切り捨て前の量を書き込み、約4.3 GBのパケットヘッダーが6 KBのバッファに入る［8］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | 報告者 | ZDIに報告した | ［8］ |
| 2026年 | ZDI | ベンダーに脆弱性を報告した | ［7］ |
| 2026年 | Broadcom | セキュリティアドバイザリVMSA-2026-0007と修正版26H1u1を公開した | ［1、2、3］ |
| 2026年 | ZDI | アドバイザリZDI-26-647を調整のうえ公開した | ［7］ |
| 2026年 | CVE Program | CVE-2026-59346とCVE-2026-59347のCVE記録を公開した | ［4、5］ |
| 2026年 | CISA | CVE-2026-59346の記録にSSVCの評価を加えた | ［4］ |
| 2026年 | カナダのサイバーセキュリティセンター | 注意喚起AV26-1008を掲載した | ［6］ |
対象の製品と版
Broadcomは5月14日のブログで、Workstation 26H1とFusion 26H1の一般提供を発表した［13］。その前の25H2の更新で、版番号を暦年の形に移していた［13］。
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| VMware Workstation | 25H2、26H1 | Workstation Pro 26H1u1（ビルド25688693） | ［2、4］ |
| VMware Fusion（macOS） | 25H2、26H1 | Fusion Pro 26H1u1（ビルド25689522） | ［3、4］ |
報告者の分析では、Workstation・Fusion・Playerはいずれもvmware-vmxの同じTSOの分割のコードを共有し、影響を受ける［8］。
悪用の状況
CISAのADP（Vulnrichment）は、CVE-2026-59346の記録に加えたSSVCで、悪用（Exploitation）をnone、自動化可能性をno、技術的影響をtotalとした［4］。
報告者の説明では、公開したクラッシュのPoCはゲストのカーネルモジュールで、読み込むとホストのvmware-vmxが止まり、ゲストの電源が切れる［8］。PoCは最大のオーバーフローの値で出しており、黙ってチャンクのメタデータを壊す値は公開していない［8］。調整しない値では、vmware-vmxがSIGSEGVで止まるホストのクラッシュになる［8］。
修正と回避策
Broadcomのリリースノートによると、両製品の26H1u1はCVE-2026-59346とCVE-2026-59347を解決した［2、3］。脆弱性の詳しい情報はVMSA-2026-0007を見るよう案内している［2、3］。Workstation Pro 26H1u1は、セキュリティと不具合の修正を含む［2］。
SecurityWeekとThe Hacker Newsは、どちらの脆弱性にも回避策は無いと報じた［9、10］。SecurityWeekによると、Broadcomは修正版への早期の更新を勧めている［9］。
カナダのサイバーセキュリティセンターはAV26-1008で、VMware Fusion（macOS）とVMware Workstationの26H1u1より前の版が影響を受けると掲載し、利用者と管理者に更新の適用を促した［6］。
未公表の事項
- Workstation Playerが影響を受けるかについてのBroadcomの説明
- 実際の悪用についてのBroadcomの説明（SecurityWeekは、Broadcomが悪用に触れず、2件とも非公開で報告を受けたとしていると報じた［9］）
- CISAの既知の悪用された脆弱性カタログ（KEV）への登録
注
- 〔注1〕ZDIはCVE-2026-59346のCVSSを7.5（AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H）と評価した［7］。
出典
当事者
- ［1］Broadcom Inc.『VMSA-2026-0007（Support Content Notification）』（2026年9月3日公開、保存記録のみ） 保存記録
- ［2］Broadcom Inc.『VMware Workstation Pro 26H1u1 Release Notes』（2026年9月3日公開、2026年11月3日更新）
- ［3］Broadcom Inc.『VMware Fusion Pro 26H1u1 Release Notes』（2026年9月3日公開、2026年10月9日更新）
公的機関
- ［4］CVE Program『CVE-2026-59346』（2026年10月7日公開）
- ［5］CVE Program『CVE-2026-59347』（2026年10月7日公開）
- ［6］Canadian Centre for Cyber Security『Broadcom VMware security advisory (AV26-1008)』（2026年10月7日公開）
調査・観測
- ［7］Trend Micro Zero Day Initiative『ZDI-26-647: VMware Workstation VMXNET3 TSO Segmentation Integer Overflow Local Privilege Escalation Vulnerability』（2026年9月9日公開）
- ［8］cyberstan『Guest-to-host heap overflow via integer overflow in VMXNET3 TSO segmentation (CVE-2026-59346)』（公開日不明、2026年11月7日閲覧）
報道機関
- ［9］Wired Business Media『VMware Workstation and Fusion Updates Patch Critical Vulnerability』（2026年9月4日公開）
- ［10］The Hacker News『Critical VMware Workstation and Fusion Flaw Lets VM Admins Execute Host Code』（2026年9月5日公開）
- ［11］ニュースガイア株式会社『「VMware Workstation」「Fusion」に「クリティカル」脆弱性』（2026年9月4日公開）
- ［12］Daily CyberSecurity『VMware Workstation and Fusion VMXNET3 Flaw CVE-2026-59346 Detailed With Public PoC Exploit』（2026年10月8日公開）
背景資料
- ［13］Broadcom Inc.『VMware Workstation and Fusion 26H1: Performance, Visibility, and Modern Architecture』（2026年5月14日公開）
更新記録
- 2026年9月8日：公開した。
- 2026年9月9日：ZDIのアドバイザリZDI-26-647（出典7）を加え、「脆弱性の内容」「時系列」と注を改めた。
- 2026年10月7日：CVE Programの記録2件（出典4、5）とカナダのサイバーセキュリティセンターの注意喚起AV26-1008（出典6）を加え、リードと「脆弱性の内容」「時系列」「悪用の状況」「修正と回避策」を改めた。
- 2026年10月8日：SecurityOnlineの記事（出典12）と報告者の分析の記事（出典8）を加え、リードと「脆弱性の内容」「時系列」「対象の製品と版」「悪用の状況」を改めた。
- 2026年10月9日：BroadcomのFusion Pro 26H1u1のリリースノート（出典3）を10月9日の更新版に改めた。
- 2026年11月3日：BroadcomのWorkstation Pro 26H1u1のリリースノート（出典2）を11月3日の更新版に改めた。