BroadcomがVMware Workstation/Fusionの重大な脆弱性CVE-2026-59346を修正 — CVSS 9.3、ゲストからホストでコード実行の恐れ

Broadcomは2026年9月3日、デスクトップ仮想化製品であるVMware WorkstationおよびVMware Fusionに存在する脆弱性2件を修正したと公表した。最も深刻な脆弱性であるCVE-2026-59346は、CVSS 9.3（Critical）と評価され、ゲスト仮想マシン（VM）内の管理者権限を持つ攻撃者が、ホスト側でコードを実行する恐れがある。Broadcomは回避策は存在しないとして、修正版への更新を呼びかけている。

修正された2件の脆弱性 — VMXNET3とHGFSのメモリ処理不備

Broadcomが公表したアドバイザリによれば、今回修正された脆弱性は次の2件である。

• CVE-2026-59346 : VMXNET3仮想ネットワークアダプタにおける整数オーバーフロー。Broadcomは「ゲストVM上の管理者権限を持つ攻撃者がこの問題を悪用し、ホスト上でコードを実行する可能性がある」と説明している。CVSS 9.3でCriticalに分類される。
• CVE-2026-59347 : HGFS（Host-Guest File System）におけるスタックベースのバッファオーバーフロー。Broadcomは「ホスト上で動作する仮想マシンのVMXプロセスとしてコードが実行される可能性がある」と説明している。

両脆弱性とも、ゲストOS内で管理者権限を取得していることが悪用の前提条件となる。WorkstationやFusionは、信頼できないコードを隔離環境で実行するために広く利用されており、ゲストからホストへの脱出（VMエスケープ）は、その隔離の前提を破る事象となる。

影響を受ける製品とバージョン

Broadcomによれば、影響を受ける製品とバージョンは次のとおりである。

• VMware Workstation 25H2および26H1（ホストOSを問わず）
• VMware Fusion 25H2および26H1（macOSホスト）

CVE-2026-59346については、VMXNET3仮想NICを利用している仮想マシンが影響を受ける。HGFSを利用する環境ではCVE-2026-59347の影響も受ける可能性がある。Broadcomは、両製品ともにバージョン26H1u1で本脆弱性を修正したと案内している。

Broadcomは、両脆弱性とも外部の研究者から非公開で報告されたものであると説明している。報告元として、Zero Day InitiativeやTencent Xuanwu Labを含む複数の研究チームがクレジットされている。公表時点で、実際の悪用の確認や公開された概念実証（PoC）の存在は報告されていない。

対策 — 26H1u1への更新が唯一の修正手段

Broadcomは、本脆弱性に対する回避策や緩和策は存在しないと明記している。WorkstationとFusionの利用者は、修正版であるバージョン26H1u1への更新が唯一の対策となる。

WorkstationはWindowsやLinuxホストで、FusionはmacOSホストでデスクトップ仮想化を提供し、開発やマルウェア解析、業務用PCでの隔離実行など日本企業でも利用が広い。ゲストOS内の管理者権限が前提とはいえ、ゲストが侵害された場合にホスト全体へ影響が波及する可能性があるため、Broadcomが案内する修正版への更新を計画的に適用する必要がある。

Broadcomが公表した対策は、修正版への更新に限定されている。Broadcomは、特定のネットワーク遮断や設定変更などの代替策を推奨していない。利用者は、同社アドバイザリで示された対象バージョンと修正バージョンを確認し、アップデートを適用する。

出典

• Broadcom Security Advisory「VMSA-2026-00xx / Security Advisory 0/38288」（2026年9月3日） https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38288