Broadcom heeft beveiligingsupdates vrijgegeven voor twee kwetsbaarheden in VMware Workstation en VMware Fusion. Eén daarvan is kritisch: bij bepaalde omstandigheden kan een aanvaller code uitvoeren op de host. De updates zijn beschikbaar voor de getroffen versies, er zijn volgens Broadcom geen workarounds die de problemen afdoende verhelpen.
In dit artikel leggen we uit wat er precies speelt, welke VMware Workstation kwetsbaarheid centraal staat en welke stappen beheerders nu het beste kunnen zetten.
Welke VMware Workstation kwetsbaarheid is kritisch?
De belangrijkste issue is geregistreerd als CVE-2026-59346 met een CVSS-score van 9.3. Het gaat om een integer-overflow die een lokale aanvaller met verhoogde privileges kan misbruiken om willekeurige code uit te voeren.
Broadcom beschrijft het scenario als volgt: een kwaadwillende partij met local administrative privileges op een virtuele machine, waarbij gebruik wordt gemaakt van het VMXNET3 virtuele netwerkadapter, kan daarmee code op de host laten uitvoeren.
Ook tweede bug: buffer-overflow in HGFS
Naast de kritieke integer-overflow patcht Broadcom ook een tweede kwetsbaarheid: CVE-2026-59347 (CVSS 8.1). Dit betreft een stack-based buffer-overflow in HGFS.
Volgens Broadcom kan misbruik hiervan eveneens alleen succesvol zijn wanneer de aanvaller lokale beheerdersrechten heeft binnen de context van de betreffende virtuele machine. Vervolgens kan de aanvaller code laten uitvoeren als het VMX-proces dat op de host draait.
Voor wie is dit relevant: VMware Workstation en Fusion versies
De kwetsbaarheden raken VMware Workstation en VMware Fusion in de versies 25H2 en 26H1.
Broadcom geeft aan dat de fixes zijn opgenomen in VMware Workstation 26H1u1 en VMware Fusion 26H1u1. Werk je nog op 25H2 of een oudere 26H1-variant? Dan is upgraden naar 26H1u1 de route om de risico’s te verkleinen.
Geen workarounds: waarom patchen nu belangrijk is
Broadcom meldt expliciet dat er geen workarounds zijn die de twee kwetsbaarheden effectief afdekken. Dat betekent dat het beperken van schade in de praktijk neerkomt op patchen en het controleren of de omgeving daadwerkelijk op de vaste versies draait.
Daarnaast is het goed om het aanvalspatroon scherp te houden: beide kwetsbaarheden vragen om lokale beheerdersrechten bij de aanvaller binnen de VM-context. Daarmee is het niet automatisch “internet-exploitable”, maar het risico blijft reëel, omdat die privileges ook kunnen worden verkregen via een andere aanval. Denk aan compromittering via phishing of misbruik van zwakke gebruikersconfiguraties.
Waarom aanvallers VMware als doelwit zien
Hoewel er volgens de berichtgeving geen aanwijzingen zijn dat deze specifieke problemen al in het wild zijn uitgebuit, wijzen beveiligingsonderzoekers erop dat VMware-producten regelmatig het doelwit worden van aanvallers.
Als recente context wordt genoemd dat aanvallers in de maand daarvoor actief konden worden waargenomen tegen twee tekortkomingen in VMware vCenter: CVE-2026-59309 en CVE-2026-59310. Over de tweede kwetsbaarheid werd zelfs gesuggereerd dat die mogelijk was “weaponized” door een China-nexus APT-actor.
Die campagne leidde, volgens de schatting in het bericht, tot compromissen van 361 unieke victim IP-adressen over 47 landen, met een concentratie in landen als Duitsland, de VS, Turkije, Iran en Frankrijk.
Wat moeten VM-beheerders nu concreet doen?
Als je VMware Workstation of Fusion gebruikt voor ontwikkeling, testen of end-user virtualisatie, is dit het moment om je beheerproces aan te scherpen. Je hoeft niet te wachten tot “bewijs in het wild”: omdat er geen workarounds zijn, is de beste keuze om de vendor-update toe te passen.
1) Upgrade naar 26H1u1
Controleer welke VMware Workstation/Fusion versies draaien binnen je organisatie en pak direct de route richting Workstation 26H1u1 en Fusion 26H1u1. Werk je op 25H2 of eerdere 26H1-releases? Dan is die upgrade prioriteit.
2) Check of VMXNET3 en HGFS relevant zijn
De details uit Broadcom’s beschrijving zijn niet bedoeld om in paniek te raken, maar wel om gericht te kijken. De kritieke CVE-2026-59346 wordt gekoppeld aan situaties met VMXNET3 in de virtuele netwerkinstelling. De tweede issue (CVE-2026-59347) zit in HGFS. Maak een inventarisatie: welke configuraties worden gebruikt en in welke mate?
3) Versterk de route naar “minder kans op lokale admin”
Omdat beide kwetsbaarheden lokale beheerdersrechten vereisen, helpt het om je aanvalsoppervlak daar aan te pakken. Zorg voor sterke authenticatie, beperk waar mogelijk adminrechten en voorkom dat gebruikers of systemen makkelijk in die positie komen via phishing of zwakke configuraties.
Let op: zelfs als de exploit zelf binnen een VM gebeurt, kan een compromittering van privileges leiden tot impact op de host. Daarom loont het om ook endpoint-hardening en security awareness mee te nemen in je aanpak.
4) Monitor op tekenen van eerdere compromissen
Als beheerders alleen patchen zonder te kijken naar mogelijke sporen, missen ze een deel van het verhaal. Rollen als SOC/IT-security kunnen extra alerting inzetten op verdachte authenticaties, processen of netwerkgedrag rond systemen waarop VMware Workstation of Fusion draait.
Credits en status: wie ontdekte de issues?
Broadcom vermeldt dat de kwetsbaarheid CVE-2026-59346 is ontdekt door onderzoekers en partijen waaronder @h4urek, @cameudis en Stan S. Voor CVE-2026-59347 worden Yeonghyeon Choi en Tianchu Chen van Tencent Xuanwu Lab genoemd als melders.
Die erkenning geeft extra context: deze bugs zijn niet “plotseling uit het niets” ontstaan, maar het resultaat van gericht onderzoek. Dat maakt het des te belangrijker dat je beheeractie nu wordt uitgevoerd.
Vergelijkbare VMware incidenten: leer van eerdere signalen
Voor organisaties die VMware in meerdere lagen gebruiken (workstations, vCenter, management), is het nuttig om te kijken naar eerdere beveiligingsverhalen. We hebben op de site eerder aandacht besteed aan VMware-updates en kwetsbaarheden in gerelateerde producten, zoals VMware Workstation updates: kritieke kwetsbaarheden gepatcht.
Ook bij supply-chain- en netwerkgerichte aanvalsroutes kan de onderliggende gedachte hetzelfde zijn: aanvallers grijpen kansen waar software en configuraties kwetsbaar zijn. Als je beheerprocessen rondom updates en controle wilt verbeteren, kan dat helpen om sneller te handelen bij nieuwe meldingen.
Conclusie: patch VMware Workstation kwetsbaarheid snel
De gemelde problemen tonen hoe gevoelig virtualisatieomgevingen kunnen zijn. De VMware Workstation kwetsbaarheid (CVE-2026-59346) is kritisch en kan, onder voorwaarden en met lokale beheerdersrechten, leiden tot willekeurige code-uitvoering op de host. Daarnaast patcht Broadcom ook CVE-2026-59347, een buffer-overflow in HGFS.
Omdat Broadcom aangeeft dat er geen workarounds zijn, is de praktische stap helder: upgrade naar VMware Workstation 26H1u1 en VMware Fusion 26H1u1 en verifieer de implementatie. Combineer dit met extra aandacht voor het voorkomen (en vroeg detecteren) van compromissen die lokale privileges mogelijk maken.
Bron: https://thehackernews.com/2026/09/critical-vmware-workstation-and-fusion.html
