CVE-2026-59346 und CVE-2026-59347: VMware Fusion und Workstation ermöglichen Codeausführung — so patchen Sie jetzt auf 26H1u1

Zwei neue Schwachstellen in VMware Fusion und Workstation, CVE-2026-59346 und CVE-2026-59347, erreichen einen CVSS-3.1-Base-Score von 9,3, einen Wert, den man sonst eher bei aus der Ferne ausnutzbaren Lücken erwartet. Dass CERT-Bund die Schwachstellen als „lokal ausnutzbar“ einstuft, macht sie nicht harmlos: Ein Angreifer braucht keinen Zugriff über das Netzwerk, ein bereits bestehender Zugang zum System genügt laut Advisory, um beliebigen Programmcode auszuführen. Wer VMware Fusion oder Workstation für Entwicklungs-, Test- oder Schulungsumgebungen einsetzt, sollte den Patch-Status jetzt prüfen.

Was ist passiert?

CERT-Bund hat am 2. September 2026 das Advisory WID-SEC-2026-3169 veröffentlicht. Darin beschrieben sind mehrere Schwachstellen in VMware Workstation und VMware Fusion, zusammengefasst unter zwei CVE-Kennungen: CVE-2026-59346 und CVE-2026-59347. Ein lokaler Angreifer kann sie nach Angaben von CERT-Bund nutzen, um beliebigen Programmcode auszuführen. Betroffen sind VMware Fusion und VMware Workstation in allen Versionen vor 26H1u1, das Update auf genau diese Version schließt die Lücken.

Was ist belegt?

Risikoeinstufung, betroffene Versionen und Update-Verfügbarkeit sind sowohl im CERT-Bund-Advisory als auch im zugrunde liegenden VMware Security Advisory dokumentiert: hoch (CVSS 9,3), lokal statt remote ausnutzbar, betroffen sind VMware Fusion und Workstation jeweils vor Version 26H1u1. Was die öffentlich verfügbare Beschreibung nicht nennt, ist der genaue technische Mechanismus, etwa ob ein Angreifer aus dem Gastsystem einer virtuellen Maschine heraus auf den Host zugreifen kann oder ob die Schwachstelle ausschließlich das Host-Betriebssystem selbst betrifft.

Was ist derzeit unklar?

Ob die Schwachstellen bereits aktiv ausgenutzt werden, geht aus den verfügbaren Quellen nicht hervor. Auch der genaue Angriffsweg bleibt nach aktuellem Kenntnisstand offen. Für die Praxis ändert das wenig: Ein CVSS-Wert von 9,3 rechtfertigt zeitnahes Handeln unabhängig davon, ob bereits Exploits im Umlauf sind.

Was das für Ihren Betrieb bedeutet

Aus unserer Sicht ist die lokale Ausnutzbarkeit hier kein Grund zur Entwarnung. Wer VMware Fusion oder Workstation auf einem Notebook mit mehreren Nutzerkonten betreibt, wer Kolleginnen und Kollegen Testzugänge zu Entwicklungssystemen gibt oder wer VMs auf gemeinsam genutzten Arbeitsplätzen laufen lässt, hat in genau diesen Konstellationen bereits einen lokalen Zugang im relevanten Sinn. Prüfen Sie zunächst die installierte Version: Unter VMware Fusion und Workstation zeigt der Menüpunkt „Über“ die aktuelle Versionsnummer. Liegt sie unter 26H1u1, spielen Sie das Update über den integrierten Updater oder von der Broadcom-Support-Seite ein.

Ein praktischer Nebenaspekt: VMware Workstation Pro und Fusion Pro sind seit der Übernahme durch Broadcom nach aktuellem Kenntnisstand sowohl für private als auch für kommerzielle Nutzung kostenlos. Das Update selbst kostet also außer der Zeit für die Installation nichts, ein Argument, das gegen Aufschieben spricht, nicht dafür.

Was Sie jetzt prüfen sollten: Läuft auf Ihren Arbeitsplätzen noch eine VMware-Fusion- oder Workstation-Version vor 26H1u1? Wenn ja, Update priorisieren, besonders auf Systemen, auf denen mehrere Personen Zugriff haben oder auf denen Testumgebungen mit potenziell nicht vertrauenswürdigem Code laufen.

Quellen: CERT-Bund — „VMware Fusion und Workstation: Mehrere Schwachstellen ermöglichen Codeausführung“ (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-3169); VMware Security Advisory (https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38288)