Kerngegevens
- Leverancier
- VMware (Broadcom)
- Soort software
- virtualisatie
- Getroffen versies
- VMware Workstation 25H2, 26H1
- VMware Fusion 25H2, 26H1
- Oplossing
- Update beschikbaar
- Opgeloste versie
- VMware Workstation 26H1u1
- VMware Fusion 26H1u1
- CVE gepubliceerd
- 7 oktober 2026
- Gepubliceerd op LekkenRadar
- 7 oktober 2026
- Laatst gewijzigd bij NVD
- 7 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In VMware Workstation en VMware Fusion zit een fout waarbij een berekening met een geheel getal te groot wordt (een integer-overflow). Het lek zit in de virtuele netwerkadapter VMXNET3. Een aanvaller kan hiermee code laten uitvoeren op de host, dus op de computer waarop de virtuele machine draait.
Wie loopt risico?
Je loopt risico als je VMware Workstation of Fusion in versie 25H2 of 26H1 gebruikt. Een aanvaller moet lokale beheerdersrechten hebben binnen een virtuele machine met een VMXNET3-netwerkadapter. Vanuit die virtuele machine kan hij dan uitbreken naar de host. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt, en er is geen openbare exploit bekend.
Wat moet je doen?
Update naar 26H1u1
Installeer VMware Workstation of VMware Fusion versie 26H1u1. In deze versie is het lek opgelost.
Controleer je huidige versie
Kijk of je versie 25H2 of 26H1 gebruikt. Alleen deze versies zijn volgens de gegevens getroffen.
Beperk beheerderstoegang in virtuele machines
Geef alleen vertrouwde gebruikers beheerdersrechten in virtuele machines met een VMXNET3-adapter, zolang je nog niet hebt bijgewerkt.
Lees het advies van de leverancier
Broadcom heeft een beveiligingsadvies gepubliceerd. Volg de aanwijzingen daarin.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een integer-overflow (CWE-190) in de VMXNET3 virtuele netwerkadapter van VMware Workstation en Fusion. Een aanvaller met lokale beheerdersrechten in een gastsysteem kan de fout veroorzaken en zo code uitvoeren op de host. De CVSS-vector (AV:L/AC:L/PR:N/UI:N/S:C) laat zien dat de aanval lokaal is, weinig complexiteit vraagt en geen gebruikersinteractie nodig heeft. Door de gewijzigde scope (S:C) reikt de impact voorbij de virtuele machine zelf. Vertrouwelijkheid, integriteit en beschikbaarheid van de host kunnen volledig worden geraakt.
CVSS-vector (versie 3.1, basisscore 9,3, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-190 · Integer-overflow of wraparound
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee