Broadcomは2026年5月14日、VMware Fusionに存在するローカル権限昇格の脆弱性 CVE-2026-41702を公表しました。
概要
この脆弱性は、SETUIDバイナリが実行する処理において、Time-of-check Time-of-use、いわゆるTOCTOUの問題が発生するものです。ローカルの非管理者ユーザーが悪用した場合、VMware FusionがインストールされたmacOS上でroot権限を取得できる可能性があります。
影響範囲
影響を受けるのは、VMware Fusion 25H2です。修正済みバージョンはVMware Fusion 26H1です。
この脆弱性はリモートから直接侵入するタイプではありません。攻撃者は対象端末上でローカルの非管理者権限を持っている必要があります。
ただし、ローカル権限昇格は軽視できません。フィッシング、マルウェア、悪意あるスクリプト、侵害された開発ツールなどにより一般ユーザー権限で端末に侵入された後、root権限の取得に悪用される可能性があります。
原因
原因は、SETUIDバイナリの処理中に発生するTOCTOU脆弱性です。
TOCTOUは、ファイルやリソースの状態を確認した時点と、実際に利用する時点の間に差が生じることで、本来想定していない処理が行われる問題です。権限を持つSETUIDバイナリでこの問題が発生すると、低権限ユーザーが処理の隙間を悪用して、より高い権限で操作を実行できる可能性があります。
今回のCVE-2026-41702では、ローカルの非管理者ユーザーがroot権限へ昇格できる可能性が示されています。NVDでも、ローカル攻撃、低権限、ユーザー操作不要という条件が示されています。
関連記事
Broadcom（VMware）で複数の脆弱性(CVE-2025-41244,41245,41246)
VMware Aria Operationsに複数の脆弱性(CVE-2026-22719 / CVE-2026-22720 / CVE-2026-22721)
Oracle Cloudへの不正アクセスと情報漏洩 疑惑、Oracle Fusion Middlewareの脆弱性を悪用か(CVE-2021-35587)
VMwareが深刻度が高い脆弱性に緊急パッチを公開-Cloud FoundationおよびvCenterなどに深刻なリスク(VMSA-2025-0009,VMSA-2025-0010)
VMware ESXiの脆弱性をランサムウェア 攻撃グループが悪用（CVE-2024-37085）
VMware vCenter Serverの1年前の脆弱性(CVE-2024-37079)がKEVに追加
VMWare Fusionで危険度の高い脆弱性が修正(CVE-2024-38811)
Microsoft Wordの脆弱性 CVE-2026-40361に注意、Outlookでゼロクリック型サイバー攻撃への悪用の恐れ
VMware Aria AutomationのSQLインジェクションの脆弱性を修正（CVE-2024-22280）
