VMware FusionおよびVMware Workstationに、仮想マシンからホスト側のパソコンでコードを実行される可能性がある重大な脆弱性が確認されました。
影響を受けるのは、主に次のバージョンです。
- VMware Fusion 25H2／26H1
- VMware Workstation 25H2／26H1
修正版は、2026年9月3日に公開された「26H1u1」です。
2026年9月6日時点で、Broadcomから公式な回避策は案内されていません。対象バージョンを使用している場合は、26H1u1への更新が必要です。
この記事では、今回確認された脆弱性の内容や対象バージョン、現在のバージョンを確認する方法、更新時の注意点を初心者向けに解説します。
すぐに更新できない場合は、更新が完了するまで仮想マシンの使用を停止するのが最も安全です。少なくとも、入手元が不明な仮想マシンやファイルを実行したり、信頼できない利用者に仮想マシンを操作させたりしないでください。ただし、これらはBroadcomが示した正式な回避策ではなく、脆弱性そのものを解消するものではありません。
VMware Fusion・Workstationに2件の脆弱性
Broadcomは2026年9月3日、VMware FusionおよびVMware Workstationに影響する、次の2件の脆弱性を公表しました。
| 脆弱性 | 内容 | 深刻度 |
|---|---|---|
| CVE-2026-59346 | VMXNET3の整数オーバーフロー | 9.3・Critical |
| CVE-2026-59347 | HGFSのスタックバッファオーバーフロー | 8.1・Important |
いずれも、仮想マシン内からホスト側へ影響が及ぶ可能性のある脆弱性です。
Broadcomのセキュリティアドバイザリでは、全体として「Critical」に分類されています。
「ホスト側」とは？
VMwareでは、実際に使用しているパソコンを「ホスト」、その中で仮想的に動かしているWindowsやLinuxなどを「ゲスト」または「仮想マシン」と呼びます。
たとえば、Windows 11のパソコン上でVMware Workstationを使い、仮想環境内でLinuxを動かしている場合は、次のようになります。
- ホスト：実際のWindows 11パソコン
- ゲスト：VMware内で動かしているLinux
今回問題になっているのは、仮想マシン内の処理が、隔離されているはずのホスト側にまで影響する可能性がある点です。
CVE-2026-59346とは？
「CVE-2026-59346」は、VMXNET3仮想ネットワークアダプターに存在する整数オーバーフローの脆弱性です。
深刻度を示すCVSSスコアは、最高レベルに近い「9.3」と評価されています。
Broadcomによると、VMXNET3仮想ネットワークアダプターを使用している仮想マシン内で、ローカル管理者権限を持つ悪意のある人物が、この問題を悪用する可能性があります。
悪用された場合、仮想マシン内だけでなく、ホスト側でコードを実行される恐れがあります。
CVE-2026-59347とは？
「CVE-2026-59347」は、HGFSに存在するスタックベースのバッファオーバーフローの脆弱性です。
HGFSは、ホストと仮想マシンの間でファイルを共有する機能などに関係する仕組みです。
こちらのCVSSスコアは「8.1」で、Broadcomは「Important」に分類しています。
悪意のある人物が仮想マシン内でローカル管理者権限を取得している場合、ホスト上で動作する仮想マシンのプロセスとして、コードを実行される可能性があります。
すぐに外部から攻撃される脆弱性なの？
今回の脆弱性は、インターネットにつないでいるだけで、外部から直ちに攻撃されるという内容ではありません。
Broadcomは、悪意のある人物が仮想マシン内から脆弱性を悪用する可能性があると説明しています。CVE-2026-59346については、VMXNET3仮想ネットワークアダプターを使用している仮想マシンが攻撃経路になります。
また、Broadcomの公表時点では、実際の攻撃に悪用されているとの情報は示されていません。
ただし、仮想マシンからホスト側でコードを実行される可能性があり、回避策も用意されていません。現在悪用されているとの情報がない場合でも、更新を先延ばしにしないことが大切です。
影響を受けるバージョン
Broadcomが公表している対象製品と修正版は、次のとおりです。
| 製品 | 影響を受けるバージョン | 修正版 |
|---|---|---|
| VMware Workstation | 25H2／26H1 | 26H1u1 |
| VMware Fusion | 25H2／26H1 | 26H1u1 |
「26H1u1」の「u1」は、26H1に対するUpdate 1を意味します。
26H1を使用していても、そのままでは今回の修正が含まれていません。バージョン表示が「26H1u1」になっているか確認してください。
なお、上の表にない旧バージョンについては、「対象外だから安全」と自己判断するのではなく、サポート状況も含めて最新版への移行を検討してください。
VMware Workstationのバージョンを確認する方法
WindowsやLinuxでVMware Workstationを使用している場合は、次の手順で確認できます。
- VMware Workstationを起動します。
- 画面上部の「Help」を選択します。
- 「About VMware Workstation」を開きます。
- 表示されたバージョン番号を確認します。
表記が英語の場合でも、「Version」または「Build」の項目から確認できます。
今回のWindows向け修正版は、次のバージョンです。
VMware Workstation Pro 26H1u1
Build 25688693
25H2または26H1と表示されている場合は、更新が必要です。
VMware Fusionのバージョンを確認する方法
MacでVMware Fusionを使用している場合は、次の手順で確認します。
- VMware Fusionを起動します。
- Mac画面上部のメニューバーから「VMware Fusion」を選択します。
- 「VMware Fusionについて」を開きます。
- バージョン番号を確認します。
今回のMac向け修正版は、次のバージョンです。
VMware Fusion Pro 26H1u1
Build 25689522
こちらも、25H2または26H1を使用している場合は更新してください。
VMware Fusion・Workstationを26H1u1へ更新する方法
通常は、VMware FusionまたはWorkstationの更新確認機能からアップデートできます。
VMware Workstationの場合
- VMware Workstationを起動します。
- 「Help」を開きます。
- 「Software Updates」または更新を確認する項目を選びます。
- 26H1u1が表示されたら、画面の案内に従って更新します。
VMware Fusionの場合
- VMware Fusionを起動します。
- メニューバーの「VMware Fusion」を開きます。
- 「Check for Updates」を選びます。
- 26H1u1が表示されたら更新します。
更新が表示されない場合は、Broadcomの公式セキュリティ情報を確認し、ページ内に掲載されている公式ダウンロード先から最新版を入手してください。
▶︎ Broadcomのセキュリティ情報「VMSA-2026-0007」
Broadcomのダウンロードページでは、サインインを求められることがあります。偽のダウンロードサイトを避けるため、非公式サイトではなく、Broadcomのセキュリティ情報に掲載された公式リンクから入手してください。
更新前に確認しておきたいこと
VMware本体を更新する前に、作業中の仮想マシンを正常に終了してください。
「一時停止」や「サスペンド」の状態ではなく、仮想マシン内のOSを通常の手順でシャットダウンしておくと安心です。
また、重要な仮想マシンを使用している場合は、更新前に仮想マシンのデータをバックアップしておきましょう。
ただし、スナップショットは同じ保存場所の中に作成されるため、パソコンやストレージ自体に問題が起きた場合の完全なバックアップにはなりません。重要なデータは、別のストレージにも保存しておくことをおすすめします。
VMwareをインストールしているだけでも更新が必要？
VMwareがインストールされていても、仮想マシンを起動していなければ、今回の攻撃経路が直ちに成立するわけではありません。ただし、今後再び使用する可能性がある場合は、使用前に26H1u1へ更新してください。今後使わない場合は、必要な仮想マシンやデータを確認したうえで、アンインストールする方法もあります。
ただし、アンインストールする前に、必要な仮想マシンや仮想ディスクが残っていないか確認してください。VMware本体と仮想マシンのデータは別の場所に保存されている場合があります。
「VMware Player」を使っている場合は？
以前は、無料版として「VMware Workstation Player」が広く利用されていました。
現在は製品体系が変わり、VMware Workstation Proが無料で提供されています。古いVMware Workstation Playerを使い続けている場合は、今回の対象表に名前がないから安全と考えず、最新版のWorkstation Proへの移行を検討してください。
なお、古い仮想マシンを新しいバージョンで開く際には、仮想ハードウェアの更新を促されることがあります。
業務で使用している環境や、古いOS・特殊なソフトを動かしている環境では、先にバックアップを取り、互換性を確認してから更新してください。
よくある質問
Q1．26H1を使っています。更新は必要ですか？
はい。今回の修正が含まれているのは「26H1u1」です。
26H1と26H1u1は異なるため、26H1を使っている場合は更新してください。
Q2．25H2を使っています。26H1u1まで上げる必要がありますか？
はい。Broadcomが案内している25H2の修正版も26H1u1です。
Q3．VMware Fusionだけの問題ですか？
いいえ。Mac向けのVMware Fusionだけでなく、Windows・Linux向けのVMware Workstationも対象です。
Q4．VMware Toolsだけ更新すればよいですか？
今回案内されている修正版は、VMware Fusion／Workstation本体の26H1u1です。
VMware Toolsだけを更新して終わりにせず、VMware本体のバージョンを確認してください。
Q5．今すぐ仮想マシンを削除する必要がありますか？
通常は、仮想マシンを削除する必要はありません。
重要なデータをバックアップしたうえで、VMware本体を26H1u1へ更新してください。すぐに更新できない場合は、更新が完了するまで仮想マシンの使用を停止するのが最も安全です。少なくとも、信頼できない仮想マシンや入手元不明のファイルは実行しないでください。
Q6．実際の攻撃に使われていますか？
Broadcomの2026年9月3日の発表では、実際に悪用されているとの情報は示されていません。
ただし、脆弱性の深刻度は高く、回避策もありません。悪用情報が出るまで待つのではなく、早めの更新が推奨されます。
まとめ
2026年9月3日、VMware FusionおよびVMware Workstationに影響する、2件の重大な脆弱性が公表されました。
特に「CVE-2026-59346」は、CVSSスコア9.3のCriticalに分類されています。
今回のポイントは、次のとおりです。
- VMware Fusion／Workstationの25H2と26H1が対象
- 修正版は26H1u1
- 仮想マシンからホスト側でコードを実行される可能性がある
- 回避策は用意されていない
- Broadcomの公表内容には、実際の悪用についての記載はない
- VMware Toolsだけでなく、本体の更新が必要
VMware FusionまたはWorkstationを使用している方は、まず現在のバージョンを確認してください。
25H2または26H1を使用している場合は、仮想マシンを正常に終了し、必要なデータをバックアップしたうえで、26H1u1へ更新しましょう。
参考情報
