สรุปสั้น

บริษัท Broadcom ออกอัปเดตความปลอดภัยปิดช่องโหว่ 2 รายการใน VMware Workstation และ VMware Fusion ซึ่งเป็นซอฟต์แวร์เครื่องเสมือนที่ติดตั้งลงบนเครื่องผู้ใช้โดยตรง โดยรายการที่ร้ายแรงที่สุดคือ CVE-2026-59346 คะแนน CVSS 9.3 เป็นช่องโหว่ประเภท integer overflow ที่เกิดกับการ์ดเครือข่ายเสมือน VMXNET3 เปิดทางให้ผู้โจมตีซึ่งมีสิทธิ์ผู้ดูแลระบบอยู่ภายในเครื่องเสมือนรันโค้ดออกมาที่เครื่องโฮสต์ได้ ส่วนอีกรายการคือ CVE-2026-59347 คะแนน 8.1 เป็นบัฟเฟอร์ล้นบนสแตกในฟีเจอร์แชร์ไฟล์ HGFS ซึ่งทำให้รันโค้ดในฐานะกระบวนการ VMX ของเครื่องเสมือนนั้นบนโฮสต์ได้เช่นกัน

จุดที่ต้องอ่านให้ครบคือช่องโหว่ทั้งสองรายการไม่ใช่ทางเข้าจากภายนอก ผู้โจมตีต้องยึดสิทธิ์ผู้ดูแลระบบภายในเครื่องเสมือนให้ได้เสียก่อน ซึ่ง Broadcom เองก็ตั้งข้อสังเกตไว้ว่าสิทธิ์ระดับนั้นหาได้จากการเจาะแยกอีกทอดหนึ่ง เช่น ฟิชชิงหรือการตั้งค่าผู้ใช้ที่หละหลวม เท่ากับว่าคุณค่าของช่องโหว่ชุดนี้อยู่ที่การเป็น “ขั้นที่สอง” ของห่วงโซ่การโจมตี ไม่ใช่ประตูบานแรก รุ่นที่ได้รับผลกระทบคือ VMware Workstation และ VMware Fusion เวอร์ชัน 25H2 และ 26H1 โดย Broadcom ระบุชัดว่าไม่มีวิธีแก้ชั่วคราวสำหรับช่องโหว่ทั้งสองรายการ ทางเดียวคืออัปเดตเป็น Workstation 26H1u1 และ Fusion 26H1u1 ขณะนี้ยังไม่มีหลักฐานว่าช่องโหว่ทั้งสองถูกใช้โจมตีจริง แต่ประวัติของผลิตภัณฑ์ตระกูล VMware ในช่วงหลังบอกว่าช่วงเวลาระหว่างประกาศกับการถูกโจมตีนั้นสั้นลงเรื่อย ๆ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 5 กันยายน 2569 ว่า บริษัท Broadcom ได้ปล่อยอัปเดตความปลอดภัยแก้ช่องโหว่ 2 รายการที่กระทบ VMware Workstation และ VMware Fusion โดยรายการแรกคือ CVE-2026-59346 ที่ได้คะแนน CVSS 9.3 เป็นช่องโหว่ integer overflow ซึ่งผู้โจมตีในเครื่อง (local) ที่มีสิทธิ์สูงสามารถใช้รันโค้ดตามอำเภอใจได้

ในประกาศเตือนของตัวเอง Broadcom เขียนไว้ว่า “ผู้ไม่ประสงค์ดีที่มีสิทธิ์ผู้ดูแลระบบภายในเครื่องบนเครื่องเสมือนซึ่งมีการ์ดเครือข่ายเสมือน VMXNET3 อาจใช้ประโยชน์จากปัญหานี้เพื่อรันโค้ดบนเครื่องโฮสต์ได้” พร้อมให้เครดิตผู้ค้นพบไว้ 3 ราย ได้แก่ @h4urek, @cameudis และ Stan S

ช่องโหว่อีกรายการที่แก้พร้อมกันคือ CVE-2026-59347 คะแนน CVSS 8.1 เป็นบัฟเฟอร์ล้นบนสแตกในฟีเจอร์ HGFS (Host-Guest File System) ซึ่งเป็นกลไกแชร์ไฟล์ระหว่างเครื่องโฮสต์กับเครื่องเสมือน ผู้โจมตีที่มีสิทธิ์ผู้ดูแลระบบภายในเครื่องเสมือนสามารถใช้ช่องโหว่นี้รันโค้ดในฐานะกระบวนการ VMX ของเครื่องเสมือนนั้นซึ่งทำงานอยู่บนโฮสต์ได้ ผู้รายงานคือ นาย Yeonghyeon Choi และ นาย Tianchu Chen จาก Tencent Xuanwu Lab

ทั้งสองกรณีมีเงื่อนไขร่วมกันคือผู้โจมตีต้องมีสิทธิ์ผู้ดูแลระบบภายในเครื่องเสมือนอยู่แล้ว ซึ่งฟังดูเหมือนเป็นข้อจำกัดที่หนักหนา แต่ Broadcom ก็เตือนเองว่าสิทธิ์ระดับนั้นได้มาจากการเจาะแยกอีกครั้งหนึ่งได้ ไม่ว่าจะผ่านฟิชชิงหรือการตั้งค่าผู้ใช้ที่อ่อนแอ

รุ่นที่ได้รับผลกระทบคือ VMware Workstation และ VMware Fusion เวอร์ชัน 25H2 และ 26H1 Broadcom ระบุว่าไม่มี workaround สำหรับช่องโหว่ทั้งสองรายการ และได้แก้ไขแล้วใน VMware Workstation 26H1u1 กับ VMware Fusion 26H1u1

แม้ยังไม่มีหลักฐานว่าช่องโหว่ทั้งสองถูกใช้โจมตีจริง แต่ The Hacker News ชี้ว่าช่องโหว่ในผลิตภัณฑ์ VMware เป็นแม่เหล็กดึงดูดผู้โจมตีมาโดยตลอด โดยเมื่อเดือนที่ผ่านมามีการพบการโจมตีจริงต่อช่องโหว่ 2 รายการใน VMware vCenter คือ CVE-2026-59309 และ CVE-2026-59310 ซึ่งรายการหลังถูกสงสัยว่าเป็นฝีมือกลุ่ม APT ที่เชื่อมโยงกับจีน กิจกรรมดังกล่าวเริ่มขึ้นหลังการเปิดเผยช่องโหว่ต่อสาธารณะเพียง 5 วันตามปฏิทิน และประเมินว่าเจาะเข้าเหยื่อไปแล้ว 361 หมายเลขไอพีที่ไม่ซ้ำกันใน 47 ประเทศ กระจุกตัวมากที่สุดในเยอรมนี 55 ราย สหรัฐอเมริกา 41 ราย ตุรกี 38 ราย อิหร่าน 26 ราย และฝรั่งเศส 25 ราย

รายละเอียดช่องโหว่

CVE-2026-59346 อยู่ในเส้นทางการประมวลผลของ VMXNET3 ซึ่งเป็นการ์ดเครือข่ายเสมือนแบบ paravirtualized ที่ VMware ออกแบบเองและเป็นค่าเริ่มต้นของเครื่องเสมือนรุ่นใหม่จำนวนมาก ลักษณะของช่องโหว่เป็น integer overflow กล่าวคือค่าที่ใช้คำนวณขนาดหรือดัชนีล้นขอบเขตของชนิดข้อมูล ทำให้การตรวจสอบขอบเขตที่ตามมาให้ผลผิด และเปิดทางให้เขียนข้อมูลออกนอกพื้นที่ที่ควรเป็น เมื่อโค้ดส่วนนี้ทำงานอยู่ในกระบวนการของฝั่งโฮสต์ ผลลัพธ์จึงกลายเป็นการรันโค้ดข้ามเส้นแบ่งระหว่างเครื่องเสมือนกับโฮสต์ ซึ่งเป็นเส้นแบ่งที่ทั้งงานทดสอบมัลแวร์และงานแยกสภาพแวดล้อมพึ่งพาอยู่

CVE-2026-59347 เป็นคนละกลไกแต่ให้ผลปลายทางคล้ายกัน โดยอยู่ใน HGFS ซึ่งเป็นช่องทางแชร์โฟลเดอร์ระหว่างโฮสต์กับเครื่องเสมือน ช่องโหว่เป็นบัฟเฟอร์ล้นบนสแตก และเมื่อโจมตีสำเร็จผู้โจมตีจะได้รันโค้ดในฐานะกระบวนการ VMX ของเครื่องเสมือนนั้น ซึ่งเป็นกระบวนการที่ทำงานบนโฮสต์เพื่อดูแลเครื่องเสมือนแต่ละตัว ระดับสิทธิ์ที่ได้จึงต่ำกว่ากรณีแรกในเชิงทฤษฎี แต่ก็ยังเป็นการหลุดออกจากขอบเขตของเครื่องเสมือนแล้ว

ข้อมูลเชิงเทคนิคที่เผยแพร่ต่อสาธารณะยังมีน้อยมาก Broadcom ไม่ได้เปิดรายละเอียดของฟังก์ชันที่มีปัญหา ไม่ได้ระบุว่าต้องตั้งค่าเครื่องเสมือนแบบใดจึงจะเข้าเงื่อนไขได้นอกเหนือจากการมีการ์ด VMXNET3 และยังไม่มี proof-of-concept สาธารณะ ณ เวลาที่รายงานข่าว ผู้ดูแลระบบจึงประเมินความยากง่ายของการโจมตีจริงด้วยตัวเองไม่ได้ นอกจากยึดคะแนน CVSS ที่ผู้ผลิตให้มา

ผลกระทบ

ผู้ที่ได้รับผลกระทบตรง ๆ คือผู้ใช้ VMware Workstation บนวินโดวส์และลินุกซ์ กับ VMware Fusion บนแมค ซึ่งกลุ่มผู้ใช้หลักคือนักพัฒนา ทีมทดสอบซอฟต์แวร์ นักวิเคราะห์มัลแวร์ และผู้ดูแลระบบที่ใช้เครื่องเสมือนแยกสภาพแวดล้อมการทำงานออกจากเครื่องหลัก

ความหมายที่แท้จริงของช่องโหว่ชุดนี้อยู่ตรงที่มันทำลายสมมติฐานพื้นฐานของการใช้เครื่องเสมือน นั่นคือ “ถ้าของอันตรายอยู่ในเครื่องเสมือน ของนั้นออกมาไม่ได้” งานวิเคราะห์มัลแวร์ที่เปิดตัวอย่างในเครื่องเสมือน หรือแล็บทดสอบที่ยอมให้ผู้ใช้มีสิทธิ์ผู้ดูแลระบบภายในเครื่องเสมือนเป็นเรื่องปกติ คือกรณีที่เงื่อนไข “ต้องมีสิทธิ์ผู้ดูแลระบบใน VM ก่อน” ไม่ใช่อุปสรรคเลย เพราะสิทธิ์นั้นถูกมอบให้ตั้งแต่ต้นอยู่แล้ว

ในทางกลับกัน สำหรับองค์กรที่ใช้เครื่องเสมือนบนเดสก์ท็อปเป็นเพียงเครื่องมือทำงานทั่วไป ความเสี่ยงจะขึ้นอยู่กับว่าผู้ใช้ปลายทางมีสิทธิ์ระดับผู้ดูแลระบบในเครื่องเสมือนของตัวเองหรือไม่ และเครื่องเสมือนนั้นเปิดฟีเจอร์แชร์โฟลเดอร์กับโฮสต์ไว้หรือเปล่า อนึ่ง ช่องโหว่ชุดนี้ไม่กระทบ ESXi หรือ vCenter ซึ่งเป็นผลิตภัณฑ์คนละสายกับ Workstation/Fusion แม้ข่าวจะกล่าวถึงการโจมตี vCenter ประกอบไว้ด้วยก็ตาม

คำแนะนำ

  • อัปเดต VMware Workstation และ VMware Fusion เป็นเวอร์ชัน 26H1u1 ทันที เนื่องจาก Broadcom ยืนยันว่าไม่มีวิธีแก้ชั่วคราวใด ๆ ทดแทน
  • สำรวจว่าในองค์กรมีเครื่องใดติดตั้ง Workstation หรือ Fusion เวอร์ชัน 25H2 หรือ 26H1 อยู่บ้าง โดยเฉพาะเครื่องของนักพัฒนาและทีมวิเคราะห์มัลแวร์ที่มักติดตั้งเองนอกระบบแจกจ่ายซอฟต์แวร์กลาง
  • ระหว่างที่ยังอัปเดตไม่ครบ ให้ปิดฟีเจอร์แชร์โฟลเดอร์ระหว่างโฮสต์กับเครื่องเสมือน (Shared Folders/HGFS) ในเครื่องเสมือนที่ไม่จำเป็นต้องใช้ เพื่อลดพื้นที่โจมตีของ CVE-2026-59347
  • ทบทวนว่าจำเป็นต้องให้ผู้ใช้มีสิทธิ์ผู้ดูแลระบบภายในเครื่องเสมือนหรือไม่ เพราะเงื่อนไขบังคับของช่องโหว่ทั้งสองรายการคือสิทธิ์ระดับนี้
  • สำหรับแล็บวิเคราะห์มัลแวร์ ให้ถือว่าเครื่องโฮสต์อยู่ในขอบเขตความเสี่ยงเดียวกับเครื่องเสมือน และแยกเครื่องโฮสต์ออกจากเครือข่ายที่มีข้อมูลสำคัญ
  • ผู้ที่ดูแล vCenter ควรตรวจสอบสถานะแพตช์ของ CVE-2026-59309 และ CVE-2026-59310 ควบคู่ไปด้วย เพราะสองรายการนั้นมีการโจมตีจริงแล้ว

แหล่งอ้างอิง