VMware WorkstationとFusionに深刻な脆弱性、仮想マシンからホストでのコード実行の恐れ――Broadcomが更新版を公開

要点

• 米BroadcomがVMware WorkstationおよびFusionに影響する2件のセキュリティ脆弱性に対処するアップデートを公開した。

• 最大深刻度の「CVE-2026-59346」（CVSS 9.3）では、仮想マシンの管理者権限を持つ攻撃者がホスト上で任意のコードを実行できる恐れがある。

• 共有フォルダ機能に起因するスタックバッファオーバーフローの脆弱性「CVE-2026-59347」（CVSS 8.1）も同時に修正された。

• 影響を受けるのはバージョン25H2および26H1で、回避策はなく修正版「26H1u1」へのアップデートが提供されている。

• 現時点で悪用の痕跡は確認されていないものの、前月にはvCenterの脆弱性を狙った世界規模の攻撃が観測されていた。

• 米Broadcomは2026年9月5日、仮想化ソフトウェア「VMware Workstation」および「VMware Fusion」に存在する2件のセキュリティ脆弱性に対するセキュリティアップデートを公開した。このうち1件は共通脆弱性評価システム（CVSS）のスコアが9.3に達する深刻な欠陥であり、特定の条件下で仮想マシン内からホスト環境での任意のコード実行につながる可能性があるという。同社は本脆弱性に対する回避策は存在しないとしており、修正版へのアップデートを案内している。

仮想マシンからホストへ影響する2件の脆弱性

今回Broadcomによって修正されたのは、VMware WorkstationおよびFusionの動作に影響を与える2件の脆弱性だ。

最も深刻度が高い「CVE-2026-59346」（CVSSスコア: 9.3）は、整数オーバーフローの脆弱性である。仮想マシン向けに最適化された仮想ネットワークアダプターである「VMXNET3」を備えた環境において、仮想マシン上でローカル管理者権限を持つ攻撃者が悪用することで、ホストシステム上で任意のコードを実行できる恐れがあるという。Broadcomはこの問題の発見者として、@h4urek氏、@cameudis氏、Stan S氏の3名に謝意を表明している。

もう1件修正されたのは、「CVE-2026-59347」（CVSSスコア: 8.1）として追跡されているスタックベースのバッファオーバーフロー脆弱性である。この欠陥は、ホストと仮想マシン間でファイルを共有するための仕組みである「HGFS（Host-Guest File System）」に存在している。仮想マシン上でローカル管理者権限を持つ攻撃者が悪用した場合、ホスト上で実行されている仮想マシンの管理プロセスである「VMXプロセス」の権限でコードを実行できるとされる。この脆弱性は、Tencent Xuanwu Lab（騰訊玄武実験室）のYeonghyeon Choi氏およびTianchu Chen氏によって報告された。

攻撃成立の前提条件とリスク

公表された2件の脆弱性はいずれも、攻撃者が対象の仮想マシン上でローカル管理者権限をすでに保持していることが悪用の前提条件となっている。

ただし、管理者権限の事前保持が必要であるとはいえ、そのリスクは軽視できない。仮想マシン上の管理者権限自体は、フィッシング攻撃やユーザーによる不適切な設定（脆弱なパスワードなど）を突いた別のサイバー侵害を通じて攻撃者に奪取される可能性があるためだ。そのような手段で仮想マシン内の権限が奪われた場合、仮想化による隔離環境を越えてホスト環境へ直接侵害が拡大する構造となっている。

影響を受けるバージョンと修正パッチ

今回の脆弱性の影響を受ける対象製品およびバージョンは以下の通りである。

• VMware Workstation（バージョン 25H2、26H1）
• VMware Fusion（バージョン 25H2、26H1）

Broadcomによると、これらの脆弱性に対処可能な一時的な回避策（ワークアラウンド）は存在しない。同社は修正プログラムを適用した以下のバージョンをリリースしており、これらへアップデートすることで問題に対処できると説明している。

• VMware Workstation 26H1u1
• VMware Fusion 26H1u1

過去の事例とVMware製品を巡る攻撃の背景

現時点において、今回修正された2件の脆弱性が実際のサイバー攻撃で悪用された証拠は確認されていない。

一方で、VMware製品に存在する脆弱性はサイバー攻撃者にとって標的になりやすい傾向がある。直近の2026年8月にも、同社の仮想化管理ソフトウェア「VMware vCenter」に存在する2件の欠陥（CVE-2026-59309およびCVE-2026-59310）が悪用されている実態が観測されたばかりだった。

特にCVE-2026-59310については、中国に関連する持続的標的型攻撃（APT）グループによって攻撃ツールとして兵器化された疑いが持たれている。この攻撃活動は脆弱性の情報公開からわずか5日後に開始され、世界47カ国にわたる361の固有な被害IPアドレスが侵害されたと推定されている。被害の多くはドイツ（55件）、米国（41件）、トルコ（38件）、イラン（26件）、フランス（25件）に集中していたという。