Broadcomは、VMware WorkstationおよびVMware Fusionに影響する2件の脆弱性に対するセキュリティアップデートを公開しました。特にCVE-2026-59346はCVSSスコア9.3の重大な脆弱性で、一定の条件下では仮想マシン上でローカル管理者権限を持つ攻撃者がホスト側でコードを実行できる可能性があります。対象バージョンを利用している組織には、修正版への更新が重要となります。
The Hacker News：Critical VMware Workstation and Fusion Flaw Lets VM Admins Execute Host Code
この記事のポイント
影響のあるシステム
- VMware Workstation 25H2
- VMware Workstation 26H1
- VMware Fusion 25H2
- VMware Fusion 26H1
- CVE-2026-59346：VMXNET3仮想ネットワークアダプターに関連する整数オーバーフロー脆弱性（CVSS 9.3）
- CVE-2026-59347：HGFSに存在するスタックベースのバッファオーバーフロー脆弱性（CVSS 8.1）
推奨される対策
- VMware Workstationを26H1u1へ更新してください。
- VMware Fusionを26H1u1へ更新してください。
- Broadcomによると、CVE-2026-59346およびCVE-2026-59347に対する回避策はありません。対象バージョンを使用している場合は修正版の適用を優先してください。
- 両脆弱性の悪用には仮想マシン上のローカル管理者権限が関係するため、仮想マシン内で管理者権限を付与しているユーザーやアカウントの状況も確認してください。
- 管理対象の端末や検証環境を含め、VMware WorkstationおよびFusionの利用有無とバージョンを確認してください。
上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。
この記事に出てくる専門用語
- CVE-2026-59346：VMware WorkstationおよびFusionのVMXNET3に存在する整数オーバーフロー脆弱性です。CVSSスコアは9.3とされています。
- CVE-2026-59347：VMware WorkstationおよびFusionのHGFSに存在するスタックベースのバッファオーバーフロー脆弱性です。CVSSスコアは8.1とされています。
- CVSS：脆弱性の深刻度を数値化するための評価指標です。スコアが高いほど、一般的に深刻度が高いことを示します。
- VMXNET3：VMwareの仮想マシンで利用される仮想ネットワークアダプターの一つです。
- HGFS：VMwareのホストとゲスト環境間におけるファイル共有に関連する仕組みです。
- 整数オーバーフロー：プログラムが扱える整数の範囲を超えた計算によって、意図しない値や処理が発生する問題です。
- バッファオーバーフロー：確保されたメモリ領域を超えてデータが書き込まれることで、異常動作やコード実行につながる可能性がある脆弱性です。
仮想マシンからホストへ影響するCVE-2026-59346
今回特に注意が必要なのが、CVE-2026-59346です。この脆弱性はVMware WorkstationとVMware Fusionに存在する整数オーバーフローの問題で、CVSSスコアは9.3と評価されています。Broadcomの説明では、VMXNET3仮想ネットワークアダプターを使用している仮想マシン上でローカル管理者権限を持つ悪意ある利用者が、この問題を悪用することでホスト上でコードを実行できる可能性があります。仮想マシンは通常、ホストOSから分離された環境として利用されますが、今回の脆弱性ではその境界を越えてホスト側へ影響が及ぶ可能性がある点が重要です。ただし、攻撃者が外部から無条件にコードを実行できる脆弱性として報告されているわけではありません。悪用には仮想マシン上でローカル管理者権限を持っていることが条件とされています。それでも、フィッシングなど別の侵害を起点として高い権限を取得した攻撃者が存在する場合には、さらなる攻撃へつながる可能性を考慮する必要があります。
HGFSにもコード実行につながるCVE-2026-59347
Broadcomは同時に、CVE-2026-59347についても修正しています。こちらはHGFSに存在するスタックベースのバッファオーバーフロー脆弱性で、CVSSスコアは8.1と評価されています。The Hacker NewsおよびBroadcomの情報によると、仮想マシン上でローカル管理者権限を持つ攻撃者がこの問題を悪用した場合、ホスト上で動作する仮想マシンのVMXプロセスとしてコードを実行できる可能性があります。CVE-2026-59346と同様に、攻撃の成立には仮想マシン内部で一定の高い権限が必要です。そのため、単にVMware WorkstationやFusionをインストールしているだけで直ちに外部から侵害されることを意味するものではありません。一方で、すでに仮想マシン内部への侵入を許した環境では、攻撃者が追加の脆弱性を利用してホスト側へ影響範囲を拡大する可能性があります。仮想マシンをマルウェア解析、ソフトウェア検証、開発、セキュリティテストなどに利用している組織では、ゲスト環境が侵害されることを想定した上でホストとの境界を維持することが重要となります。
25H2と26H1が対象、回避策はなく26H1u1への更新が必要
2件の脆弱性は、VMware WorkstationおよびVMware Fusionの25H2と26H1に影響するとされています。Broadcomは修正版として、VMware Workstation 26H1u1およびVMware Fusion 26H1u1を公開しています。特に運用上注意したいのは、Broadcomが今回の2件について有効な回避策を提示していない点です。そのため、対象バージョンを利用している場合には、設定変更だけで問題を回避しようとするのではなく、修正版への更新が基本的な対応となります。企業では、開発者やセキュリティ担当者が個別にVMware WorkstationやFusionを導入しているケースもあり、サーバー製品だけを資産管理していると対象端末を見落とす可能性があります。Windows端末で利用されるWorkstationだけでなく、macOS上でFusionを利用している端末についても確認することが重要です。まず組織内のインストール状況と現在のバージョンを把握し、25H2または26H1が存在する場合には26H1u1への更新対象として管理する必要があります。
現時点で悪用確認はないものの、迅速なアップデートが重要
The Hacker Newsによると、CVE-2026-59346およびCVE-2026-59347が実際の攻撃で悪用されていることを示す証拠は、記事公開時点では確認されていません。一方、VMware製品の脆弱性は過去にも攻撃者から狙われており、同記事では2026年8月にVMware vCenterのCVE-2026-59309およびCVE-2026-59310が実際の攻撃で悪用された事例も紹介されています。この事例では、脆弱性の公開から5日後には攻撃活動が開始されたと報告されています。今回のWorkstationおよびFusionの脆弱性について同様の悪用が行われると断定することはできませんが、セキュリティ更新が公開された以上、対象製品を使用する組織が対応を先送りする合理的な理由は多くありません。特に今回の2件については回避策が用意されていないため、対象バージョンの特定と修正版への更新を進めることが重要です。仮想環境を業務や開発、セキュリティ検証に利用している企業は、ホストとゲストの分離を当然の前提とせず、仮想化ソフトウェア自体も継続的な脆弱性管理の対象として扱う必要があります。
参考文献・記事一覧
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
