VMware Workstation/Fusionに脆弱性、ホスト侵害の恐れ

脆弱性・脅威情報

Broadcomは2026年9月3日、デスクトップ型仮想化ソフト「VMware Workstation」「VMware Fusion」の脆弱性2件（CVE-2026-59346／CVE-2026-59347）を公表しました。深刻度は最大「クリティカル」（CVSSv3 9.3）。仮想マシン内で管理者権限を取った攻撃者が、仮想マシンの外＝ホストPC上でコードを実行できる、いわゆる「VM脱出（VMエスケープ）」につながります。回避策は提供されておらず、修正版 26H1u1 の適用が唯一の対応です。

「サーバ仮想化基盤の話でしょう」と読み飛ばしたくなりますが、今回の対象はESXiやvCenterではなく、社員のPCやMacに入っているデスクトップ版です。しかもこの製品は2024年11月以降、商用利用でも無償・ライセンスキー不要になりました。ライセンス台帳に痕跡が残らないため、情シスが把握していないまま業務PCで動いているケースが十分にあり得ます。

この記事でわかること

  • VMSA-2026-0007の中身（CVE番号・CVSS・影響バージョン・修正版）
  • 「VMware Workstation／Fusionとは何か」と、自社に潜んでいる理由
  • 自社に該当するかを実際に確認する手順（インストール検出と .vmx の確認）
  • 本稿執筆時点でNVD・JVN iPediaに未登録である点と、その運用上の意味

VMware Workstation／Fusionとは何か（「うちは使っていない」が危ない理由）

VMware Workstation／Fusionとは、手元のPC（Windows／Linux）やMacの上で仮想マシンを作って動かす「デスクトップ型ハイパーバイザ」です。サーバ室のESXiと違い、一人ひとりの端末の中で動きます。

使われる場面は、開発・検証環境の構築、古いOSでしか動かない業務ソフトの延命、ヘルプデスクでの不具合再現、マルウェアの隔離解析などです。開発部門やインフラ担当、情報システム部門自身が使っていることが多く、「業務に必要だから個人判断で入れた」という導入経路をたどりがちなソフトでもあります。

そして最も重要なのが、この製品が「買った記録」を残さない点です。Broadcomは2024年11月11日、VMware Workstation Pro／Fusion Proを商用・教育・個人のすべての用途で無償化しました。インストール時にライセンスキーの入力欄は現れますが、無償版として先へ進めます。つまり購買記録もライセンス管理台帳のエントリも生まれません。「ソフトウェア資産管理台帳にVMwareが無い＝使っていない」は、この製品に関しては成り立ちません。判断材料になるのは、購買記録ではなく端末側の実測（インストール済みソフト一覧・プロセス・ファイル）だけです。

製品名では気づけない、という点では、他社ブランドのOEM機まで対象が広がったリコー複合機の脆弱性と同じ構図です。あちらは「別の名前で売られていた」、今回は「台帳に載らない形で配られた」という違いだけで、資産台帳を起点にすると取りこぼすという結論は変わりません。

何が起きたのか：VMSA-2026-0007の概要

Broadcomが2026年9月3日に公開したアドバイザリ「VMSA-2026-0007」は、2件の脆弱性を扱っています。いずれも非公開で報告されたもので、アドバイザリに悪用に関する記載はありません（本稿執筆時点で悪用の報告は確認できていません）。

CVE 箇所 種別 CVSSv3 影響
CVE-2026-59346 VMXNET3（仮想NIC） 整数オーバーフロー 9.3（Critical） ホスト上でのコード実行
CVE-2026-59347 HGFS（共有フォルダ） スタックバッファオーバーフロー 8.1（Critical） ホスト上のVMXプロセスとしてのコード実行
製品 対象バージョン プラットフォーム 修正版 回避策
VMware Workstation 25H2、26H1 すべて（Windows／Linux） 26H1u1 なし
VMware Fusion 25H2、26H1 macOS 26H1u1 なし

修正版のVMware Workstation Pro 26H1u1は2026年9月3日リリース、ビルド番号は25688693です。リリースノートにも解決済みの脆弱性としてCVE-2026-59346／CVE-2026-59347が明記されています。

CVE-2026-59346：VMXNET3の整数オーバーフロー（CVSS 9.3）

VMXNET3は、VMwareが提供する準仮想化タイプの仮想ネットワークアダプタです。エミュレーションでIntel製NICのふりをするe1000系と違い、仮想化されていることを前提に設計されているため性能が出る一方、ホスト側の実装がゲストからのデータを直接扱います。今回はその処理に整数オーバーフローがあり、ゲストからホストへ抜けられるという結果になりました。

Broadcomが示す攻撃条件は「VMXNET3仮想ネットワークアダプタを持つ仮想マシン上で、ローカル管理者権限を持つ攻撃者」です。CVSSベクターは CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。注目すべきはS:C（Scope Changed）で、これは影響が仮想マシンという境界を越えて及ぶことを意味します。仮想マシンの分離は「ゲストが壊れてもホストは無事」という前提で成り立っていますが、その前提そのものが崩れる種類の欠陥だということです。仮想化による分離をどこまで信用できるかという論点は、機密VMの内部が外から見えないことによる別の問題とも通じます。

ここが実務上のポイントですが、Workstation／Fusionで作成した仮想マシンが必ずVMXNET3を使っているとは限りません。新規作成時に選ばれる仮想NICはゲストOSや作成経路によって異なり、Intel系のエミュレーションアダプタ（e1000／e1000e）になることも多くあります。一方で、vSphere／ESXi環境からエクスポートしたOVAや仮想マシンを取り込んだ場合はVMXNET3のままということが起こります。推測で判断せず、後述の手順で実際に確認してください。

CVE-2026-59347：HGFSのスタックバッファオーバーフロー（CVSS 8.1）

HGFS（Host-Guest File System）は、ホストとゲストのあいだで「共有フォルダ」を実現している仕組みです。ホスト側のフォルダをゲストのLinuxで /mnt/hgfs としてマウントする、あの機能の実体だと考えてください。利用にはゲスト側のVMware Toolsが必要で、Workstationでは「仮想マシン設定 → オプション → 共有フォルダ」で明示的に有効化します。

ベクターは CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H。AC:H（攻撃条件の複雑さが高い）の分だけスコアは8.1に下がりますが、こちらもS:Cで、成功すればホスト上でVMXプロセス（仮想マシン1台を動かしているホスト側のプロセス）としてコードが動きます。なお、CVE-2026-59346の攻撃条件には「VMXNET3を持つ仮想マシン」という構成上の限定が付いていますが、こちらの記載は「仮想マシン上でローカル管理者権限を持つ攻撃者」だけで、構成の限定がありません。

ここで「共有フォルダを切れば安全」と結論づけないでください。まず、Broadcomはこの2件について回避策を「なし（None）」としており、共有フォルダの無効化を対策として案内していません。加えてBroadcomのvSphereセキュリティ文書は、共有フォルダ機能を無効化するパラメータについて「Shared Folders機能にのみ影響し、ゲスト内のVMware Toolsの一部として動作するHGFSサーバには影響しない」と明記しています。設定をオフにしてもHGFSの実装自体は残るという構造なので、無効化は緩和の一助にはなり得ても、パッチの代替にはなりません。

自社に該当するかをどう確認するか

台帳に載らない製品なので、確認は端末側から入ります。順序は「①入っているか → ②バージョンは何か → ③VMXNET3を使っているVMがあるか」です。

  • ①インストールの検出：資産管理ツールやEDRのインストール済みソフトウェア一覧で「VMware Workstation」「VMware Fusion」を検索します。プロセス名では vmware.exe（UI）と vmware-vmx.exe（仮想マシン1台につき1プロセス）が目印です。macOSでは /Applications/VMware Fusion.app の有無を見ます。実行中の vmware-vmx が見つかれば、その端末では実際に仮想マシンが動いています。
  • ②バージョンの確認：対象は25H2と26H1、修正版は26H1u1です。バージョン表記が従来の「17.x」形式から「年＋半期（25H2／26H1）」形式に変わっているため、台帳の記載が「17.6.x」のままだと現行の対象判定ができません。旧バージョンはアドバイザリに記載がありませんが、これは「安全」を意味するのではなく、サポート対象外で評価されていない可能性があります。旧版を使い続けている端末こそ26H1u1への移行を検討してください。
  • ③VMXNET3の使用有無：仮想マシンの構成は .vmx ファイルにテキストで書かれています。ethernet0.virtualDev の値が vmxnet3 ならCVE-2026-59346の条件に合致します。Windowsなら、ユーザープロファイル配下の .vmx を再帰的に探して virtualDev の行を抜き出せば一括で確認できます（PowerShellの Get-ChildItem -Recurse -Filter *.vmx と Select-String の組み合わせ）。

ただし、③で該当がなくてもCVE-2026-59347（HGFS）は残ります。「VMXNET3を使っていないから対象外」ではなく、「9.3の条件には当たらないが8.1は当たる」という読み方が正しく、いずれにせよ26H1u1の適用が必要という結論は変わりません。

想定されるリスク：なぜ「開発者のPC」で済まないのか

この脆弱性が刺さるのは「仮想マシンの中を信用していない」場面です。典型的なのは次のようなケースです。

  • マルウェア解析・検体の開封確認：怪しい添付ファイルを仮想マシンで開いて確認する運用は珍しくありませんが、仮想マシンの分離が破られれば、隔離しているつもりの検体が解析者のPC本体に到達します。解析用端末は往々にして権限が強く、社内ネットワークにもつながっています。
  • 外部から受け取った「使い捨てVM」：ベンダーから配布されたOVAや、素性のはっきりしないイメージを取り込んで動かす場面。仮想マシンのローカル管理者権限は、そのVMを渡した側が最初から持っています。
  • 旧OSの延命：サポートが切れたOSを仮想マシンに閉じ込めて業務ソフトを延命している場合、「閉じ込めてあるから大丈夫」という前提が今回の脆弱性で弱まります。中の旧OSが侵害されれば、ホスト側へ抜ける経路が理論上つながります。

いずれも「仮想マシンの中は汚れていてもよい」という前提に乗った運用です。その前提が崩れると、最も汚れた場所と最も権限の強い場所が同じ端末上で隣り合うことになります。

現場目線の課題：入れるのは簡単、更新は面倒

正直に言えば、この手の脆弱性でいちばん厄介なのはパッチそのものではなく、対象端末を数え上げられないことです。無償・キー不要で入るソフトは、購買にも申請にも痕跡が残りません。資産管理ソフトそのものに脆弱性が見つかることすらある現場で、「全端末のインストール済みソフト一覧が今この瞬間正確である」と言い切れる情シスは多くないはずです。台帳を信じて「該当なし」と報告してしまうのが、いちばん起こりやすい失敗だと思います。

もうひとつが更新の非対称性です。Workstation／Fusionは、WSUSやIntuneのような社内パッチ配信の仕組みに素直には乗りません。加えて修正版のダウンロードにはBroadcomサポートポータルのアカウント登録が必要で、Trade Complianceのフォーム入力まで求められます。入れるときは数分、更新するときは手続きが要るという非対称があり、これが「後回し」を生みます。利用者に「各自で最新版に上げてください」と通知しただけで完了にすると、たいてい半分は残ります。適用状況を後追いで確認する仕掛けまでを一組で考える必要があります。

そしてもう一点、運用上見落としやすい事実があります。本稿執筆時点（2026年9月5日）で、CVE-2026-59346／CVE-2026-59347はいずれもNVDに未登録で、JVN iPediaにも該当エントリが見当たりません。脆弱性管理ツールや社内の検知フローが公的データベースへの登録をトリガーにしていると、その分だけ着手が遅れます。ベンダーのアドバイザリが一次情報であり、公的データベースへの反映はその後だ、という当たり前の順序を、体制として織り込んでおきたいところです。どのCVEを先に潰すかという優先順位そのものが組織ごとに違うという話は、脆弱性の優先度は組織で変わるという研究でも扱っています。

情シスはどうすべきか

今回の直接的な対応は明快で、VMware Workstation／Fusionを26H1u1へ更新する。これだけです。回避策はなく、代替手段もありません。問題は「誰の端末に入っているか」を突き止める側にあります。

そこから先、「申請なく入る便利なツールをどう扱うか」は今回のCVE固有の問題ではなく、平時のルールと啓発の領域です。自前で長いチェックリストを作るより、公的機関の指針を土台にしたほうが経営層への説明にも使えて早いです。

  • IPA「中小企業の情報セキュリティ対策ガイドライン」：https://www.ipa.go.jp/security/guide/sme/about.html
    ソフトウェアの導入ルールや情報資産の把握を、規程・様式のひな形つきで整理できます。「台帳をどう持つか」から見直すときの出発点になります。
  • IPA「対策のしおり」：https://www.ipa.go.jp/security/guide/shiori.html
    エンドユーザ向けの啓発資料です。「許可のないソフトを入れない」「入れたものは更新する」という地味な話は、担当者が個別に説明するより共通教材を配ったほうが定着します。今回のような無償ツールは悪意ではなく善意（業務効率のため）で入るので、締め付けよりも周知が効きます。

まとめ

  1. VMware Workstation／Fusionの25H2・26H1にVM脱出につながる脆弱性2件（CVE-2026-59346＝CVSS 9.3、CVE-2026-59347＝CVSS 8.1）があり、回避策はありません。修正版26H1u1（2026年9月3日リリース）の適用が唯一の対応です。
  2. 2024年11月から商用利用も無償・ライセンスキー不要のため、購買・ライセンス台帳には載りません。該当判定は端末側の実測（vmware-vmx.exe の有無、バージョン、.vmx の ethernet0.virtualDev）で行ってください。VMXNET3を使っていなくてもHGFS側（8.1）は残ります。
  3. 本稿執筆時点でNVD・JVN iPediaには未登録です。公的データベースへの登録を待つ運用だと着手が遅れます。ベンダーアドバイザリを一次情報として扱う流れを整えておくべきです。

出典

タイトルとURLをコピーしました