Falhas críticas no VMware Workstation e Fusion permitem escapar da máquina virtual e executar código no host
Broadcom corrige duas vulnerabilidades no VMware Workstation e Fusion que podem romper o isolamento entre máquina virtual e sistema hospedeiro. A falha mais grave recebeu CVSS 9.3 e não possui solução alternativa: a atualização é a medida recomendada.
A Broadcom publicou em 3 de setembro de 2026 um novo alerta de segurança para duas vulnerabilidades no VMware Workstation e VMware Fusion capazes de atingir justamente uma das fronteiras mais importantes de um ambiente virtualizado: a separação entre a máquina virtual e o sistema operacional que a hospeda.
Registradas como CVE-2026-59346 e CVE-2026-59347, as vulnerabilidades foram classificadas, respectivamente, com pontuações CVSS 9.3, crítica, e CVSS 8.1, importante. Em determinadas condições, um atacante que já tenha privilégios administrativos dentro de uma máquina virtual pode explorar as falhas para executar código no host.
O cenário merece atenção especial em estações de desenvolvimento, laboratórios de segurança, ambientes de testes e análise de malware, nos quais máquinas virtuais são utilizadas justamente para criar uma barreira entre aplicações potencialmente inseguras e o computador físico.
A Broadcom disponibilizou correções e informou que não existem workarounds para nenhuma das duas vulnerabilidades. Para VMware Workstation e Fusion nas versões 25H2 e 26H1, a versão corrigida indicada pelo fabricante é a 26H1u1.
CVE-2026-59346: falha crítica no adaptador virtual VMXNET3
A vulnerabilidade mais grave é a CVE-2026-59346, um problema de integer overflow presente no VMware Workstation e Fusion e associado ao adaptador de rede virtual VMXNET3.
A Broadcom atribuiu à falha pontuação máxima CVSS v3 de 9.3, colocando-a na categoria crítica.
Segundo o advisory VMSA-2026-0007, um agente malicioso que possua privilégios administrativos locais em uma máquina virtual configurada com o adaptador VMXNET3 pode explorar a vulnerabilidade para executar código no sistema hospedeiro.
Essa característica muda significativamente a avaliação de risco. Uma máquina virtual normalmente constitui uma fronteira de isolamento: aplicações e sistemas executados dentro do ambiente convidado não deveriam conseguir interferir diretamente no sistema operacional do host.
Quando uma vulnerabilidade permite atravessar essa fronteira, surge o cenário conhecido como VM escape, ou fuga da máquina virtual.
Na prática, um comprometimento que inicialmente estaria restrito ao sistema convidado pode alcançar a máquina física responsável por executar o ambiente virtualizado.
CVE-2026-59347 atinge o compartilhamento de arquivos entre host e máquina virtual
A segunda vulnerabilidade, CVE-2026-59347, está localizada no HGFS — Host-Guest File System, componente utilizado para possibilitar funcionalidades relacionadas ao compartilhamento de arquivos entre a máquina virtual e o sistema hospedeiro.
Trata-se de uma vulnerabilidade de stack-based buffer overflow, classificada pela Broadcom como de severidade importante e com pontuação CVSS 8.1.
Nesse caso, um atacante com privilégios administrativos locais dentro da máquina virtual pode explorar a falha para executar código no processo VMX da máquina virtual em execução no host.
Embora a classificação seja inferior à da CVE-2026-59346, o impacto continua relevante porque a vulnerabilidade interfere diretamente na fronteira de confiança entre o ambiente convidado e o sistema hospedeiro.
As duas falhas foram reportadas privadamente à Broadcom. A CVE-2026-59346 foi comunicada independentemente por pesquisadores do secsys lab e por pesquisadores que trabalharam com a TrendAI Zero Day Initiative. A CVE-2026-59347 foi reportada por pesquisadores do Tencent Xuanwu Lab.
Por que uma fuga de máquina virtual representa um risco elevado
A virtualização tornou-se parte fundamental da infraestrutura moderna. Desenvolvedores utilizam máquinas virtuais para testar aplicações; equipes de segurança mantêm ambientes isolados para investigar códigos potencialmente maliciosos; administradores executam sistemas legados; e profissionais criam laboratórios inteiros sobre um único computador físico.
O princípio de segurança que sustenta esses cenários é o isolamento.
Mesmo quando o sistema operacional executado dentro de uma VM é comprometido, espera-se que o atacante permaneça limitado ao ambiente virtual. Uma vulnerabilidade capaz de ultrapassar essa fronteira transforma uma invasão inicialmente confinada em uma possível porta de entrada para o host.
A própria definição de vulnerabilidade utilizada em referências de segurança descreve esse tipo de condição como uma fraqueza de implementação ou controle que pode ser explorada para violar a política de segurança do sistema.
No caso das falhas divulgadas agora, entretanto, existe uma condição relevante: o atacante precisa possuir privilégios administrativos locais dentro da máquina virtual. Portanto, não se trata de uma vulnerabilidade que permita simplesmente atacar qualquer instalação do VMware remotamente pela Internet.
Isso não reduz, porém, a necessidade de correção.
Em uma cadeia de ataque real, o comprometimento inicial da VM pode ocorrer por malware, exploração de outra vulnerabilidade, roubo de credenciais ou execução de código malicioso. Uma falha de VM escape pode então funcionar como uma segunda etapa, permitindo que o adversário avance do ambiente convidado para o host.
Workstation e Fusion são particularmente relevantes em ambientes de desenvolvimento e segurança
O impacto também precisa ser analisado de acordo com a utilização das plataformas.
O VMware Workstation é amplamente empregado em computadores Windows e Linux para executar sistemas operacionais virtuais, enquanto o VMware Fusion desempenha função equivalente em ambientes macOS.
Essas soluções aparecem frequentemente em estações de desenvolvedores, profissionais de infraestrutura, pesquisadores, equipes de cibersegurança e laboratórios de testes.
Em um laboratório de análise de malware, por exemplo, a VM pode ser deliberadamente exposta a código não confiável. O isolamento oferecido pela virtualização torna-se, portanto, parte do próprio modelo de segurança do laboratório.
Se um código executado dentro da máquina virtual conseguir explorar uma vulnerabilidade no hipervisor e atingir o host, o ativo que deveria funcionar como ambiente de análise pode tornar-se o próximo alvo da cadeia de comprometimento.
Em organizações, isso também pode expor credenciais, código-fonte, documentos corporativos, ferramentas administrativas e conexões de rede existentes no computador hospedeiro.
O histórico recente do VMware reforça a importância da gestão de patches
As novas vulnerabilidades não aparecem de forma isolada.
Em julho de 2026, a Broadcom já havia publicado o VMSA-2026-0006, cobrindo múltiplas vulnerabilidades no VMware ESX, vCenter, Workstation e Fusion. Entre elas estava a CVE-2026-47876, também relacionada ao VMXNET3 e capaz, em determinadas condições, de permitir execução de código no host.
Poucas semanas depois, pesquisadores observaram atividades de reconhecimento contra servidores VMware vCenter expostos, mostrando como a divulgação de vulnerabilidades relevantes pode rapidamente despertar o interesse de atacantes.
O histórico é ainda mais significativo quando se considera que vulnerabilidades anteriores da família VMware já foram exploradas ativamente. Em 2025, por exemplo, falhas no ESXi, Workstation e Fusion chegaram a permitir execução de código e comprometimento da fronteira entre VM e host.
Esse contexto não significa que as duas novas vulnerabilidades estejam sendo exploradas atualmente. Até o momento da publicação deste artigo, o advisory da Broadcom não informa exploração ativa da CVE-2026-59346 ou da CVE-2026-59347.
A distinção é importante: existência de vulnerabilidade crítica não equivale automaticamente à existência de ataques em andamento.
Quais versões precisam ser atualizadas
De acordo com a matriz oficial publicada pela Broadcom, as vulnerabilidades atingem:
VMware Workstation
- versões 25H2 e 26H1;
- sistemas host suportados pelo produto;
- versão corrigida: 26H1u1.
VMware Fusion
- versões 25H2 e 26H1;
- macOS;
- versão corrigida: 26H1u1.
As duas vulnerabilidades são contempladas pela mesma atualização.
Outro elemento torna a decisão operacional relativamente simples: a Broadcom declara explicitamente que não existe workaround disponível para nenhuma das falhas.
Isso significa que organizações não devem tratar mudanças de configuração como substitutas permanentes para a atualização.
O que as organizações devem fazer agora
O primeiro passo é identificar onde VMware Workstation e Fusion estão instalados. Em empresas maiores, essas aplicações nem sempre aparecem apenas nos inventários tradicionais de servidores: frequentemente estão presentes em notebooks de desenvolvedores, estações de administradores, computadores de equipes técnicas e laboratórios.
Depois do inventário, a prioridade deve ser verificar as versões instaladas e atualizar sistemas 25H2 e 26H1 para 26H1u1, conforme a matriz de correção da Broadcom.
Enquanto o processo de atualização é executado, equipes de segurança também podem revisar quais máquinas virtuais utilizam o adaptador VMXNET3, já que essa configuração está diretamente relacionada ao vetor de exploração da CVE-2026-59346.
Também é recomendável identificar VMs que utilizam compartilhamentos de arquivos entre host e convidado, considerando a presença da vulnerabilidade no HGFS.
Essas verificações não substituem o patch, mas ajudam a compreender a superfície de exposição.
Outro ponto importante é restringir privilégios administrativos dentro das máquinas virtuais. As duas vulnerabilidades dependem desse nível de acesso no ambiente convidado, tornando o princípio do menor privilégio uma camada adicional de redução de risco.
Ambientes usados para análise de malware ou execução de código não confiável merecem prioridade ainda maior, justamente porque o conteúdo executado dentro das VMs possui uma probabilidade superior de ser hostil.
Vulnerabilidades em virtualização precisam ser avaliadas como risco do host
Um erro recorrente na avaliação desse tipo de incidente é considerar o software de virtualização apenas como uma aplicação instalada em uma estação de trabalho.
Na realidade, o hipervisor estabelece uma fronteira de segurança entre sistemas operacionais diferentes. Quando essa fronteira pode ser rompida, o impacto potencial ultrapassa o aplicativo vulnerável.
O comprometimento do host pode abrir acesso a informações que nunca estiveram presentes dentro da máquina virtual original, além de possibilitar acesso às credenciais e conexões disponíveis no sistema físico.
Dependendo da função daquele computador, o incidente pode ainda evoluir para movimentação lateral, comprometimento de contas privilegiadas ou acesso a outros recursos corporativos.
Por isso, a priorização não deve considerar somente a pontuação CVSS. É necessário avaliar onde o VMware está instalado, quem utiliza essas estações, quais privilégios existem no host e que tipo de código é executado dentro das máquinas virtuais.
Conclusão
As vulnerabilidades CVE-2026-59346 e CVE-2026-59347 demonstram por que falhas em plataformas de virtualização merecem tratamento diferenciado. O risco não está simplesmente na possibilidade de comprometer uma aplicação, mas na capacidade potencial de romper a fronteira que deveria manter o sistema convidado separado do computador físico.
A CVE-2026-59346, com CVSS 9.3, permite que um atacante com privilégios administrativos dentro de uma VM configurada com VMXNET3 alcance a execução de código no host. A CVE-2026-59347, com CVSS 8.1, afeta o HGFS e também possibilita execução de código no contexto do processo VMX no sistema hospedeiro.
Não há workaround indicado pela Broadcom.
Para organizações que utilizam VMware Workstation ou Fusion nas versões afetadas, portanto, a resposta mais objetiva é também a mais importante: identificar as instalações vulneráveis e atualizar para a versão 26H1u1 o mais rapidamente possível.
Em ambientes de virtualização, manter a integridade da fronteira entre guest e host não é apenas uma questão de manutenção de software. É preservar uma das camadas fundamentais de isolamento sobre a qual laboratórios, estações de desenvolvimento e inúmeros controles de segurança foram construídos.
Referências
Advisory oficial VMSA-2026-0007 — Broadcom
Cybersecurity News — Critical VMware Workstation and Fusion Vulnerabilities
Clique e fale com representante oficial Sophos
Veja também:
- Zero-day no Avast permite obter privilégios SYSTEM e acessar SAM do Windows
- Infostealers roubam sessões do Claude e permitem sequestro de contas mesmo com MFA
- Principais ataques cibernéticos no Brasil em agosto de 2026: ransomware, invasões e vazamentos
- Orçamento de Cibersegurança no Brasil: como a IA está mudando os investimentos
- Privacidade deixou de ser apenas uma obrigação legal
- O excesso de alertas está tornando as empresas mais vulneráveis?
- Aumento do “Shadow AI” no Brasil
- O excesso de alertas está tornando as empresas mais vulneráveis?
- Além do isolamento da chave privada
- Cibersegurança: de despesa a estratégia de crescimento
- IA a serviço do crime?
- Shadow AI: 3 medidas para reduzir o risco de cibersegurança
- O maior risco para os sistemas industriais não é a computação quântica, e sim esperar por ela
- Milhares de credenciais AWS vazadas continuam ativas
- Seu funcionário saiu do escritório. Seus dados foram junto?
- Falha CVSS 10 no Microsoft Entra ID permitia execução remota de código
Be the first to comment