พบช่องโหว่ระดับ Critical ใน VMware Workstation และ Fusion ทำให้ผู้ดูแลระบบ Virtual machine สามารถรันโค้ดบนเครื่อง Host ได้

Broadcom ได้ออกแพตช์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ 2 รายการที่ส่งผลกระทบต่อ VMware Workstation และ Fusion โดยหนึ่งในนั้นเป็นช่องโหว่ระดับ Critical ที่อาจนำไปสู่การรันโค้ดตามที่ต้องการได้ภายใต้เงื่อนไขบางประการ

ช่องโหว่ดังกล่าวได้แก่ CVE-2026-59346 (CVSS 9.3) ซึ่งเป็นช่องโหว่ประเภท Integer overflow ที่ผู้โจมตีในเครื่องซึ่งมีสิทธิ์ระดับสูงสามารถใช้ประโยชน์เพื่อรันโค้ดได้ตามที่ต้องการ

Broadcom ระบุในประกาศแจ้งเตือนว่า "ผู้ไม่หวังดีที่มีสิทธิ์ระดับผู้ดูแลระบบแบบ Local บน Virtual machine ที่ใช้ Virtual network adapter แบบ VMXNET3 อาจใช้ประโยชน์จากช่องโหว่นี้เพื่อรันโค้ดบนเครื่อง Host ได้"

โดยบริษัทเทคโนโลยีรายใหญ่รายนี้ได้ให้เครดิตแก่ @h4urek, @cameudis และ Stan S ในฐานะผู้ค้นพบช่องโหว่ดังกล่าว

นอกจากนี้ Broadcom ยังได้แก้ไขช่องโหว่ประเภท Stack-based buffer overflow ใน HGFS (CVE-2026-59347, CVSS 8.1) ซึ่งผู้ไม่หวังดีที่มีสิทธิ์ระดับผู้ดูแลระบบแบบ Local บน Virtual machine สามารถใช้ประโยชน์เพื่อรันโค้ดในฐานะ VMX Process ของ Virtual machine ที่ทำงานอยู่บนเครื่อง Host ได้

ทั้งนี้ Yeonghyeon Choi และ Tianchu Chen จาก Tencent Xuanwu Lab ได้รับการให้เครดิตในฐานะผู้รายงานช่องโหว่นี้

ทั้งสองกรณี การโจมตีที่สำเร็จขึ้นอยู่กับการที่ผู้โจมตีต้องมีสิทธิ์ระดับผู้ดูแลระบบแบบ Local อยู่ก่อนแล้ว อย่างไรก็ตาม เป็นที่น่าสังเกตว่าสิทธิ์ดังกล่าวสามารถได้มาจากการโจมตีในช่องทางอื่น ทั้งผ่านการทำ Phishing หรือการใช้ประโยชน์จากการตั้งค่า Configuration ของผู้ใช้ที่ไม่รัดกุม

ช่องโหว่ทั้งสองรายการส่งผลกระทบต่อ VMware Workstation และ VMware Fusion ในเวอร์ชันดังต่อไปนี้ :

• 25H2
• 26H1

โดย Broadcom ระบุว่า ไม่มีแนวทางแก้ไขปัญหาชั่วคราวสำหรับช่องโหว่ทั้งสองรายการนี้ พร้อมทั้งระบุเพิ่มเติมว่า ช่องโหว่ดังกล่าวได้รับการแก้ไขแล้วใน VMware Workstation 26H1u1 และ VMware Fusion 26H1u1

แม้ว่าจะยังไม่พบหลักฐานว่าช่องโหว่ทั้งสองรายการถูกนำไปใช้ในการโจมตีจริง แต่ช่องโหว่ในผลิตภัณฑ์ของ VMware ก็เป็นเป้าหมายที่ดึงดูดการโจมตีมาโดยตลอด

โดยเมื่อเดือนที่ผ่านมา มีการพบกลุ่มผู้โจมตีกำลังใช้ช่องโหว่ 2 รายการใน VMware vCenter ในการโจมตีจริง ได้แก่ CVE-2026-59309 และ CVE-2026-59310 ซึ่งช่องโหว่รายการหลังคาดว่าถูกนำไปใช้ในการโจมตีโดยกลุ่ม Advanced Persistent Threat (APT) ที่มีความเชื่อมโยงกับจีน

กิจกรรมการโจมตีดังกล่าวเริ่มต้นขึ้นหลังจากช่องโหว่ถูกเปิดเผยต่อสาธารณะเป็นเวลา 5 วัน และคาดว่าได้เจาะระบบของเหยื่อไปแล้วถึง 361 IP Address ใน 47 ประเทศ โดยการติดมัลแวร์ส่วนใหญ่กระจุกตัวอยู่ในประเทศดังต่อไปนี้

• เยอรมนี (55)
• สหรัฐฯ (41)
• ตุรกี (38)
• อิหร่าน (26)
• ฝรั่งเศส (25)

ที่มา : thehackernews