Broadcom ha corretto due vulnerabilità critiche in VMware Workstation e VMware Fusion, CVE-2026-59346 e CVE-2026-59347, nelle linee 25H2 e 26H1. Un amministratore locale dentro la VM può usarle per eseguire codice sull’host, quindi il problema non resta nel guest.
Nel primo caso il difetto è in VMXNET3; nel secondo nel processo VMX. In entrambi i casi il guest trasforma una funzione di virtualizzazione fidata in un canale di uscita dal sandbox, e l’effetto pratico è che il sistema che ospita le VM può diventare il bersaglio reale.
Per chi usa Workstation o Fusion come ambiente di prova, la barriera da considerare fragile è quella di virtualizzazione, non solo la VM. Su workstation e host che eseguono code non fidata, il raggio d’azione si sposta al laptop o al desktop che regge tutto il resto.