Las vulnerabilidades críticas de VMware Workstation y Fusion permiten a los atacantes ejecutar código en el host

Broadcom ha emitido una advertencia crítica de seguridad de que dos fallas recientemente reveladas en VMware Workstation y Fusion podrían permitir a los atacantes salir de una máquina virtual y ejecutar código malicioso directamente en el sistema host subyacente, un escenario que socava la promesa de seguridad central de la virtualización. El más grave del par, CVE-2026-59346, es un defecto de desbordamiento de enteros en el adaptador de red virtual VMXNET3.

De acuerdo con el aviso, un actor malicioso que ya tiene privilegios administrativos locales en una máquina virtual configurada con un adaptador VMXNET3 podría explotar la falla para ejecutar código en la propia máquina host, escapando de manera efectiva del entorno de VM aislado. El segundo problema, CVE-2026-59347, es una vulnerabilidad de desbordamiento de búfer basada en pila en el sistema de archivos Host-Guest, más conocido como HGFS, que maneja carpetas compartidas entre una máquina virtual y su host. Su exploit permitiría a un atacante con acceso administrativo dentro de una máquina virtual invitada ejecutar código como el proceso VMX que se ejecuta en el host, lo que les daría un punto de apoyo en las operaciones a nivel de host sin necesidad de violar el adaptador de red directamente. Las vulnerabilidades afectan a las versiones 25H2 y 26H1 de VMware Workstation que se ejecutan en cualquier sistema operativo host, así como a las versiones 25H2 y 26H1 de VMware Fusion que se ejecutan en macOS.

Dado que ambas fallas solo requieren privilegios administrativos locales dentro de una máquina virtual invitada para desencadenar un compromiso a nivel de host, los equipos de seguridad que ejecutan VMware Workstation o Fusion en entornos de laboratorio, pruebas o análisis de malware deben tratar esto como un parche prioritario. Las vulnerabilidades post Critical VMware Workstation y Fusion permiten a los atacantes ejecutar código en el host aparecieron por primera vez en Cyber Security News.

Consultar publicación original ↗