Der ganze Sinn einer virtuellen Maschine ist die Wand drumherum. Was drinnen passiert, bleibt drinnen. Genau diese Wand hat Broadcom gerade an zwei Stellen abgedichtet: Ein Advisory vom 3. September beschreibt zwei Lücken in VMware Workstation und Fusion, über die Code aus der VM heraus auf dem Wirtssystem landen kann.
Für Homelab-Leute ist das die unangenehmste Sorte Fehler. Wer eine verdächtige Datei „mal eben in der VM“ öffnet, verlässt sich darauf, dass genau das nicht passiert.
DIE NETZWERKKARTE ALS TÜR
Der schwerere der beiden Fehler ist CVE-2026-59346, bewertet mit CVSS 9,3. Es handelt sich um einen Integer-Überlauf — vereinfacht: Eine Zahl wird größer, als das Programm sie halten kann, kippt um und bringt die Software dazu, Speicher an der falschen Stelle zu beschreiben.
Der Weg dorthin führt über den virtuellen Netzwerkadapter VMXNET3. Wer in einer VM Administratorrechte hat, kann darüber Code auf dem Host ausführen. Das ist der klassische VM-Escape: Der Gast bricht aus und steht im Wohnzimmer des Gastgebers.
Die zweite Lücke, CVE-2026-59347, ist ein Pufferüberlauf auf dem Stack und liegt bei CVSS 8,1 — ernst, aber eine Stufe darunter.
WER PATCHEN MUSS
Betroffen sind:
- VMware Workstation 25H2 und 26H1 — auf jedem Wirtssystem, also Windows wie Linux
- VMware Fusion 25H2 und 26H1 — unter macOS
Der Fix heißt 26H1u1 und deckt beide Lücken in beiden Produktlinien ab. Und hier steht ein Satz im Advisory, den man selten so klar liest: Es gibt keine Workarounds. Kein Häkchen, das man wegnimmt, keine Einstellung, die das Risiko entschärft. Entweder du aktualisierst — oder die Lücke bleibt offen.
DIE EINORDNUNG: Wie schlimm ist das wirklich?
Ehrlich bleiben lohnt sich hier. Für den Angriff braucht jemand bereits administrative Rechte innerhalb einer VM. Das ist keine Lücke, über die dich jemand aus dem Internet einfach so übernimmt.
Gefährlich wird sie in zwei Szenarien, die im Homelab beide vorkommen:
- Die Analyse-VM. Du wirfst Schadsoftware bewusst in eine Wegwerf-Maschine, um zu sehen, was sie tut. Die Schadsoftware hat dort Adminrechte — genau die Voraussetzung, die der Angriff braucht.
- Die geteilte Maschine. Jemand anderes bekommt eine VM auf deinem Rechner. Er soll darin schalten und walten dürfen, aber eben nur darin.
In beiden Fällen ist die Trennung genau das Produkt, für das du bezahlt hast. Fällt sie, ist der Nutzen weg.
UND WENN DU GAR KEIN VMWARE NUTZT?
Dann ist heute ein guter Tag, um dein eigenes Setup zu sortieren. Desktop-Virtualisierung wie Workstation und Fusion setzt auf einem laufenden Betriebssystem auf — die Angriffsfläche ist naturgemäß größer als bei einem Typ-1-Hypervisor, der direkt auf der Hardware läuft. Für dauerhaft laufende Dienste ist eine getrennte Maschine mit Proxmox oder einem vergleichbaren Unterbau die sauberere Wahl. Für schnelles Ausprobieren am Arbeitsplatz bleibt Workstation trotzdem bequem — nur eben gepatcht.