PENTESTY · ANÁLISE EDITORIAL · · 4 min de leitura
VMware no laboratório: a atualização chegou à estação que abre as VMs?
Uma VM de teste também depende do software instalado na estação. Confira onde aplicar a correção e quais evidências sustentam a retomada do trabalho.
Por Pentesty
O aviso é de setembro e identifica dois mecanismos
O VMSA-2026-0007 da Broadcom, publicado em 3 de setembro de 2026, descreve a CVE-2026-59346, em VMXNET3, e a CVE-2026-59347, em HGFS. A primeira pode permitir execução no host; a segunda, no contexto do processo VMX. Ambas exigem, conforme a descrição do fornecedor, administração local na VM. A matriz lista Workstation e Fusion 25H2/26H1 e indica 26H1u1 como versão corrigida, sem workaround. O aviso não lista ESXi nem vCenter.
A estação de teste é um ativo com proprietário
Imagine uma equipe que recebe uma VM de demonstração de um fornecedor. A imagem é aberta no notebook usado também para desenvolvimento. Antes da execução, o responsável precisa saber qual produto está instalado, qual versão está ativa e quais recursos do host foram disponibilizados ao convidado. A etiqueta laboratório não responde a essas perguntas.
Mantenha o inventário no nível da estação, sem depender da imagem da VM. Relacione usuário responsável, sistema host, Workstation ou Fusion, versão observada e finalidade do ambiente. Inclua máquinas usadas ocasionalmente para suporte, treinamento ou testes, que podem ficar fora da lista dos servidores de virtualização.
Não trate adaptador de rede e HGFS como uma única condição
Ao comparar a estação com o boletim, registre o adaptador configurado e os compartilhamentos existentes. Essas informações ajudam a entender as condições e as dependências do laboratório. Elas não substituem a versão corrigida indicada pelo fabricante, nem permitem concluir que desativar uma integração resolveu as duas vulnerabilidades.
Revise também quais dados realmente precisam estar disponíveis ao convidado. Uma pasta temporária com arquivos fictícios tem finalidade diferente de um diretório com projetos e credenciais pessoais. A proposta é reduzir acessos desnecessários e documentar os necessários, sem apresentar essa revisão como workaround reconhecido no aviso.
Separe instalação, execução e retomada do serviço
Planeje a manutenção com quem utiliza a estação e siga o procedimento suportado para o produto. Antes da mudança, registre as VMs que precisam ser preservadas e as condições para retomar o trabalho. Depois, confira o produto efetivamente aberto e sua versão, em vez de encerrar a tarefa pelo download de um instalador.
Escolha uma VM controlada, com dados sintéticos, para validar a operação legítima após a manutenção. O exercício pode incluir inicialização, encerramento, conectividade necessária e uma troca de arquivo expressamente permitida. Ele demonstra continuidade e configuração observadas, sem reproduzir um escape ou certificar resistência a todos os ataques.
- Antes da mudança: estação, produto, versão, VMs relevantes e responsável pela janela.
- Após a instalação: evidência da versão em uso e referência ao boletim aplicável.
- Na retomada: resultados das tarefas autorizadas, integrações necessárias e exceções pendentes.
Uma restauração pode reabrir a pendência
Considere a recuperação da própria estação. Se ela voltar de uma imagem anterior à manutenção, a equipe precisa conferir novamente o software que executa as VMs. Um snapshot do convidado descreve outro estado e não serve como comprovação da correção do produto instalado no host.
A análise de KVM em ARM64 e virtualização aninhada trata de um mecanismo diferente, mas ajuda a localizar a camada responsável pelo isolamento. Já a revisão de componentes efetivamente carregados aprofunda a diferença entre correção disponível e estado observado. Preserve essa distinção no encerramento da manutenção.
O aceite precisa dizer o que foi verificado
Entregue um registro curto com ativos abrangidos, versões, comparação com a matriz e resultados das tarefas legítimas. Se a estação não pôde ser atualizada, identifique a pendência e quem decide sobre seu uso. Um bloqueio temporário de atividades pode fazer parte dessa decisão, mas não deve ser descrito como correção técnica já aplicada.
Perguntas frequentes
As falhas descritas são ataques remotos sem acesso prévio?
O fornecedor descreve administração local dentro da VM como condição para ambas. Não transforme essa descrição em ataque direto pela internet contra qualquer estação.
Atualizar somente o sistema da VM resolve?
O aviso trata do Workstation e do Fusion que a executam. Identifique e atualize o produto afetado na camada indicada pela documentação oficial.
Desativar pastas compartilhadas substitui a correção?
O boletim lista ausência de workaround. Revisar integrações é uma decisão de configuração; não apresente essa medida como solução das duas falhas.
É necessário executar uma prova de conceito?
A conferência proposta verifica implantação e operação com cargas legítimas. Uma avaliação específica de escape exige autorização, ambiente e método próprios.
Fontes e referências
- Broadcom: VMSA-2026-0007 para Workstation e Fusion
- CVE: registro primário VMware para CVE-2026-59346
- CVE: registro primário VMware para CVE-2026-59347
Análise original da Pentesty, publicada em 16 de outubro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.