VMware Workstation dan Fusion ditambal untuk dua flaw lokal
Oleh Zai · Let's Make It Easy
Dipublikasikan 2026-09-06
VMware Workstation dan VMware Fusion adalah hypervisor desktop yang menjalankan sistem operasi tamu di atas host.
VMware Workstation dan VMware Fusion adalah hypervisor desktop yang menjalankan sistem operasi tamu di atas host. Banyak developer memakai VM untuk menguji software, memisahkan environment, atau menjalankan tool yang tidak ingin dipasang langsung di sistem utama. Karena itu, bug pada komponen virtualisasi selalu perlu dibaca dengan melihat syarat eksploitnya, bukan hanya skor severity.
1. Dua vulnerability yang ditambal
Broadcom merilis update untuk CVE-2026-59346 dan CVE-2026-59347. CVE-2026-59346 adalah integer-overflow yang berkaitan dengan VMXNET3, virtual network adapter. CVE-2026-59347 adalah stack-based buffer overflow pada HGFS, mekanisme berbagi file antara guest dan host. The Hacker News melaporkan keduanya dapat berujung pada eksekusi code di host dalam kondisi tertentu.
2. Syarat eksploitnya
Kedua flaw membutuhkan local administrative privileges pada virtual machine yang terdampak. Artinya, bug ini bukan jalur remote yang otomatis membuat semua host terbuka dari internet. Namun syarat local admin tidak boleh dibaca sebagai jaminan aman. Privilege itu dapat muncul setelah kompromi lain, phishing, atau konfigurasi user yang lemah. Jika attacker sudah menguasai VM dengan privilege tinggi, boundary antara guest dan host menjadi relevan.
Broadcom menyebut VMware Workstation 26H1u1 dan VMware Fusion 26H1u1 sebagai versi yang sudah memperbaiki masalah. Advisory-nya juga tidak mencantumkan workaround yang menutup kedua vulnerability. The Hacker News melaporkan belum ada bukti bahwa dua flaw ini telah dieksploitasi di wild.
3. Apa yang perlu dilakukan?
Periksa apakah Workstation atau Fusion berada pada versi 25H2 atau 26H1, lalu upgrade ke rilis yang sudah ditambal. Sambil menunggu perubahan, kurangi pemakaian VM yang menerima file atau tool dari sumber tidak tepercaya dan hindari memberi hak admin tanpa alasan. Audit juga penggunaan shared folders dan VMXNET3 bila tidak dibutuhkan.
Kesimpulannya bukan bahwa virtual machine tidak berguna. VM tetap membantu isolasi, tetapi isolasi punya asumsi dan konfigurasi. Patch hypervisor, batasi privilege di guest, dan jangan menganggap label VM otomatis menyelesaikan masalah keamanan.
4. Memahami asumsi isolasi
Isolasi VM bekerja dalam batas konfigurasi tertentu. Shared folders, virtual networking, clipboard integration, dan proses yang berjalan dengan hak tinggi semuanya memperbesar permukaan interaksi antara guest dan host. Fitur-fitur itu tidak otomatis berbahaya, tetapi administrator perlu tahu mana yang aktif dan kenapa.
Patch juga sebaiknya dipasangkan dengan kontrol di dalam guest. Gunakan akun biasa untuk aktivitas harian, batasi software yang boleh dipasang, dan pisahkan VM untuk file tidak tepercaya. Untuk mesin developer, simpan backup sebelum upgrade lalu uji workload penting pada versi baru. Langkah ini tidak menghapus risiko, tetapi mengurangi peluang satu kompromi lokal berubah menjadi masalah pada host.