LONDON (IT BOLTWISE) – Broadcom hat Sicherheitsupdates für VMware Workstation und VMware Fusion veröffentlicht und schließt dabei zwei Lücken, darunter einen kritischen Integer-Overflow mit CVSS 9,3. Unter bestimmten Bedingungen kann ein Angreifer mit lokalen Administratorrechten über VMXNET3 Code auf dem Host ausführen. Zusätzlich stopft Broadcom einen stackbasierten Buffer-Overflow in HGFS (CVE-2026-59347, CVSS 8,1), der ebenfalls voraussetzt, dass der Angreifer bereits lokale Adminrechte hat. Workarounds gibt es laut Anbieter keine; gepatcht wurde in Workstation 26H1u1 und Fusion 26H1u1.
Wer virtuelle Systeme administriert, trifft in der Praxis oft auf eine trügerische Annahme: Wenn ein Fehler „nur“ in einer VM steckt, bleibt der Host meist verschont. Genau diese Denkweise rüttelt Broadcom mit den jüngsten Updates für VMware Workstation und VMware Fusion auf. Im Zentrum steht CVE-2026-59346 mit einem CVSS-Score von 9,3. Die Schwachstelle ist als Integer-Overflow beschrieben und zielt auf die Möglichkeit, dass ein Angreifer mit lokalen Administratorrechten „unter bestimmten Bedingungen“ beliebigen Code auf dem Host ausführen kann.
Technisch betrachtet ist das Risiko besonders deshalb scharf, weil es nicht bei einem reinen VM-Container-Fehler stehen bleibt, sondern die Grenze zwischen Gast und Host in den Fokus rückt. Broadcom nennt als konkreten Hebel einen Angreifer mit lokalen Administratorrechten auf einer virtuellen Maschine, die den VMXNET3-Netzwerkadapter nutzt. Damit wird klar, dass die Angriffsfläche im Netzwerkpfad des Virtualisierungs-Stacks liegt und nicht nur in vereinzelten Management-Interfaces. Der Update-Release trifft außerdem nicht nur eine Einzelschiene: Betroffen sind VMware Workstation und VMware Fusion in den Versionen 25H2 und 26H1, während Broadcom die Korrekturen in VMware Workstation 26H1u1 und VMware Fusion 26H1u1 bereitstellt.
Daneben liefert Broadcom mit CVE-2026-59347 (CVSS 8,1) noch eine zweite, ebenfalls relevantere Schwachstelle nach, dieses Mal als stackbasierter Buffer-Overflow in HGFS. Auch hier hängt der erfolgreiche Angriff an der Vorbedingung, dass der Angreifer bereits lokale Administratorrechte innerhalb des VM-Kontexts besitzt. Die Besonderheit: Broadcom ordnet den Exploit so ein, dass Code „als VMX-Prozess“ ausgeführt werden kann, der auf dem Host im Umfeld der virtuellen Maschine läuft. Damit verschiebt sich die Bedrohung weg von „VM-only“-Fehlern hin zu einer realen Host-Compromise, zumindest sobald ein Angreifer die nötigen Privilegien im Systemumfeld erlangt.
Pragmatisch heißt das für Teams in IT-Betrieb und Security: Das „lokale Adminrecht“-Kriterium ist zwar eine Hürde, aber keine echte Immunisierung. Der Anbieter weist selbst darauf hin, dass diese Rechte auch auf indirektem Weg entstehen können – etwa durch eine separate Kompromittierung, die wiederum über Phishing oder schwache Nutzerkonfigurationen realisiert wird. Genau in solchen Ketten liegen in vielen Organisationen die meisten realen Einfallstore. Dass Broadcom für beide Lücken keine Workarounds benennt, macht die Lage für Anwender zusätzlich klar: Ohne Update sinkt die Sicherheit nicht nur schrittweise, sondern bleibt mit hoher Wahrscheinlichkeit genau in dem Zustand, den die CVEs beschreiben.
Einordnung in den Markttrend liefert der Hinweis, dass es in VMware-Ökosystemen bereits zuvor als Angriffsmagnet wahrgenommene Schwachstellen gab. Laut Angaben im Bericht waren Bedrohungsakteure zuletzt aktiv dabei, zwei Schwächen in VMware vCenter auszunutzen, konkret CVE-2026-59309 und CVE-2026-59310. Die Beobachtung wird zudem mit einer Vermutung verbunden, wonach CVE-2026-59310 möglicherweise durch einen China-nexus Advanced Persistent Threat (APT) „waffenfähig“ gemacht worden sein soll. Außerdem wird eine Zahl genannt: Die Aktivität habe 361 einzigartige Opfer-IP-Adressen in 47 Ländern erreicht, wobei die meisten Infektionen in Deutschland (55), den USA (41), Türkei (38), Iran (26) und Frankreich (25) konzentriert gewesen seien.
Für Administratoren bedeutet das aus operativer Sicht zweierlei: Erstens ist das Patch-Tempo bei Desktop-Virtualisierung nicht „nice to have“, sondern Teil des Sicherheitsmodells. Zweitens lohnt es, die Privilegien- und Konfigurationshygiene in Umgebungen mit Workstation und Fusion als eigenes Risiko zu behandeln, weil ein lokaler Zugriffskanal genügt, um Exploit-Pfade auf den Host zu öffnen. Wer auf mehrere Versionen verteilt ist (z. B. Mischbetrieb aus 25H2 und 26H1), sollte die betroffenen Installationen priorisiert mit den genannten Zielständen 26H1u1 ausrollen. Broadcom hat zudem die Entdecker und Melder namentlich bzw. über Handles hervorgehoben (u. a. @h4urek, @cameudis und Stan S; für CVE-2026-59347 zusätzlich Yeonghyeon Choi und Tianchu Chen vom Tencent Xuanwu Lab). Für die eigene Priorisierung zählt das praktisch weniger als die Kernaussage: Die Korrekturen sind verfügbar, aber ein „Abwarten“ erhöht nur die Wahrscheinlichkeit, dass spätere Angriffe genau diese Konstellationen ausnutzen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Broadcom schließt kritische Lücke in VMware Workstation und Fusion (CVE-2026-59346)" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Broadcom schließt kritische Lücke in VMware Workstation und Fusion (CVE-2026-59346)" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Broadcom schließt kritische Lücke in VMware Workstation und Fusion (CVE-2026-59346)« bei Google Deutschland suchen, bei Bing oder Google News!