Broadcom corrige falhas críticas que podem romper isolamento entre VMs e o sistema host
A Broadcom disponibilizou atualizações de segurança para corrigir duas vulnerabilidades graves presentes no VMware Workstation e no VMware Fusion. Os problemas afetam mecanismos ligados à comunicação de rede e ao compartilhamento de arquivos entre máquinas virtuais e o sistema operacional hospedeiro.
A falha de maior severidade é identificada como CVE-2026-59346 e recebeu pontuação 9,3 no CVSS. O problema é causado por um *integer overflow* no adaptador de rede virtual VMXNET3, utilizado por ambientes VMware para oferecer conectividade de alto desempenho às máquinas virtuais.
Para explorar a vulnerabilidade, o invasor precisa ter privilégios administrativos locais dentro da máquina virtual. Depois de obter esse nível de acesso, entretanto, ele pode executar código arbitrário no host. Isso significa que a barreira que separa o ambiente virtualizado do sistema físico pode ser ultrapassada.
A segunda falha corrigida, registrada como CVE-2026-59347, recebeu nota 8,1 no CVSS. Nesse caso, o problema está no componente HGFS, responsável pelo compartilhamento de arquivos entre a máquina virtual e o host. A vulnerabilidade consiste em um *stack-based buffer overflow* que pode permitir a execução de código no contexto do processo VMX no sistema hospedeiro.
Embora as duas falhas dependam de privilégios administrativos dentro da VM, essa exigência não elimina o risco. Um atacante pode conquistar esse acesso por meio de campanhas de phishing, roubo de credenciais, exploração de falhas no sistema convidado ou uso de configurações excessivamente permissivas.
As versões afetadas são o VMware Workstation 25H2 e 26H1, além do VMware Fusion 25H2 e 26H1. A correção foi incorporada ao VMware Workstation 26H1u1 e ao VMware Fusion 26H1u1.
A Broadcom informou que não há medidas alternativas capazes de bloquear completamente as duas vulnerabilidades. Por esse motivo, a instalação das versões corrigidas deve ser tratada como a principal ação de proteção para usuários domésticos, equipes de TI e empresas que utilizam estações de trabalho virtualizadas.
Até o momento, não há evidências de exploração ativa das CVE-2026-59346 e CVE-2026-59347. Ainda assim, o histórico do ecossistema VMware recomenda uma postura preventiva. Falhas que permitem escapar de uma máquina virtual costumam despertar interesse de grupos criminosos porque podem ampliar o impacto de um comprometimento inicial.
Em agosto, por exemplo, as vulnerabilidades CVE-2026-59309 e CVE-2026-59310, relacionadas ao VMware vCenter, teriam sido exploradas apenas cinco dias depois da divulgação pública. A atividade afetou 361 endereços IP distribuídos por 47 países, de acordo com dados divulgados na ocasião.
Por que falhas de escape de máquina virtual são tão perigosas?
A virtualização é usada justamente para separar cargas de trabalho, usuários e sistemas em ambientes independentes. Quando uma vulnerabilidade permite que um processo dentro da VM alcance o host, essa separação deixa de funcionar como esperado.
O impacto pode ser significativo. Um atacante que execute código no host pode tentar acessar outras máquinas virtuais, capturar arquivos armazenados fora do ambiente comprometido, alterar configurações da plataforma ou interromper serviços essenciais.
Em empresas, o risco é ainda maior quando várias VMs operam no mesmo computador físico. Um único ambiente convidado comprometido pode servir como ponto de partida para ataques contra servidores de desenvolvimento, sistemas administrativos ou outras máquinas virtuais.
O que os administradores devem fazer?
O primeiro passo é identificar todas as instalações do VMware Workstation e do VMware Fusion presentes na organização. Inventários desatualizados podem fazer com que sistemas vulneráveis permaneçam fora do processo de correção.
Após o levantamento, os administradores devem planejar a atualização para as versões 26H1u1. Antes da aplicação em larga escala, é recomendável testar o pacote em uma estação controlada, verificando compatibilidade com máquinas virtuais, interfaces de rede e recursos de compartilhamento.
Também é importante revisar quais VMs possuem acesso administrativo local. Contas com privilégios elevados devem ser reduzidas ao mínimo necessário, com autenticação forte, senhas exclusivas e monitoramento de atividades suspeitas.
Como reduzir o risco até a atualização?
Enquanto a correção não é instalada, as organizações podem limitar temporariamente recursos desnecessários, como compartilhamento de arquivos via HGFS e o uso do adaptador VMXNET3 quando houver uma alternativa operacional segura. Essas ações não substituem o patch, mas podem diminuir a superfície de ataque.
O tráfego entre máquinas virtuais e o host também deve ser monitorado. Eventos incomuns, como processos iniciados fora do padrão, alterações inesperadas em arquivos compartilhados ou tentativas de acesso a recursos do sistema hospedeiro, merecem investigação imediata.
Além disso, sistemas convidados devem permanecer atualizados. Como a exploração exige privilégios administrativos dentro da VM, corrigir falhas no sistema operacional convidado e bloquear técnicas de roubo de credenciais pode impedir a etapa inicial do ataque.
A recomendação final é tratar as atualizações como prioridade de segurança, especialmente em ambientes que hospedam informações sensíveis, ferramentas de desenvolvimento, credenciais corporativas ou múltiplas máquinas virtuais no mesmo host. A ausência de exploração conhecida não elimina o risco: depois que os detalhes técnicos se tornam públicos, o intervalo entre a divulgação e as primeiras tentativas de ataque pode ser curto.