先說結論：Broadcom 在 2026 年 9 月 3 日發布 VMSA-2026-0007，修補 VMware Workstation 與 Fusion 的 CVE-2026-59346。這是 VMXNET3 元件的整數溢位弱點；VMXNET3 是虛擬機使用的一種虛擬網路介面，讓客體系統透過宿主電腦連網。原廠指出，攻擊者須先在使用這種介面的虛擬機內取得本機管理權限，才可能藉此在宿主電腦執行程式。受影響版本為 25H2 與 26H1，原廠列出的修補版本為 26H1u1。這是需要重視的客體到宿主風險，但公告並未宣稱任何使用者已遭入侵。本文依 2026 年 10 月 4 日重新可取得的原廠與獨立研究者資料整理。
背景與前因：Workstation 與 Fusion 是在個人電腦上執行虛擬機的產品。虛擬機可理解為在實體電腦裡執行的另一套作業環境；前者通常稱宿主，後者稱客體。隔離兩者是使用虛擬機的重要目的，因此任何可能由客體影響宿主的漏洞都值得優先評估。Broadcom 的公告涵蓋兩個漏洞，本文只討論其中的 CVE-2026-59346，避免把另一個涉及 HGFS 的 CVE-2026-59347 混成同一項技術原因。原廠公告日期是 9 月 3 日，TrendAI Zero Day Initiative（ZDI）的獨立研究公告則在 9 月 9 日公開；兩者日期不同，不代表 10 月才首次發生攻擊。
原因與前置條件：Broadcom 把 CVE-2026-59346 描述為 VMXNET3 的整數溢位。整數溢位是數值運算超出程式預期範圍，後續處理可能因此使用錯誤的大小或位置。ZDI 研究公告進一步指出，問題涉及虛擬裝置對資料的驗證及緩衝區配置。這些是理解風險的技術線索，本文不提供觸發方式或重現步驟。兩份資料共同強調，行為者必須先能在目標客體系統執行高權限程式；Broadcom 更明確寫出虛擬機需使用 VMXNET3 虛擬網卡。因此不能把它寫成任何外部網頁或未登入的訪客都可直接接管宿主電腦。
影響範圍：Broadcom 的回應表把 VMware Workstation 與 VMware Fusion 的 25H2、26H1 列為受影響版本，兩者的修補版本都標為 26H1u1。Fusion 對應 macOS 宿主；Workstation 的公告欄位則為各適用平台。ZDI 的獨立研究頁明列 Workstation，並沒有在該頁替 Fusion 做另一份產品測試結論；Fusion 的受影響與修補資訊應以原廠表格為準。若電腦使用的是不同產品、不同版本或其他虛擬化平台，不能僅因同屬 VMware 品牌便套用這張表，也不應把虛擬機內安裝的作業系統版本誤認為 Workstation 或 Fusion 的版本。
分數也須放在來源脈絡中看。Broadcom 對 CVE-2026-59346 給出最高 CVSS v3 基礎分數 9.3，列在關鍵嚴重度範圍；ZDI 的研究公告標示 7.5，並強調先要在客體內執行高權限程式。CVSS 是描述技術條件的比較工具，兩個機構採用的評估角度或向量不同時，數字可能不同。分數差異不會取消原廠的修補建議，也不表示某個組織的宿主已遭控制。管理者應保留來源和版本資訊，再依客體管理權限、資產用途與宿主敏感程度安排優先順序，而不是只看單一數字。
已確認的影響是，在符合前置條件的情境下，弱點可能讓攻擊者越過客體與宿主的界線，在宿主上執行程式。這裡的「可能」描述漏洞能力，不是特定受害者的事件紀錄。兩份公告沒有提出受害組織清單、資料外洩量或大規模利用證據，也沒有支持「所有虛擬機都已失去隔離」的說法。若某台宿主同時承載開發測試與敏感工作，潛在後果可能高於一般練習環境；但這仍須根據該台機器的實際資料、客體權限和網路連接方式評估。公開公告無法代替本地事件調查。
你可以怎麼做：先盤點哪些實體電腦安裝了 Workstation 或 Fusion，記錄產品、實際版本、宿主作業系統、使用者和是否仍在使用。接著確認相關虛擬機的網路介面是否設定為 VMXNET3，並辨認哪些使用者或流程能在客體內取得管理權限。這項盤點是為了辨明原廠列出的前置條件；沒有盤點資料時，不宜把所有虛擬機一律標成已受影響或已安全。對於共用實驗室、訓練環境及允許外部映像檔的電腦，應特別核對客體管理權限與宿主上存放的資料。
完成盤點後，依 Broadcom 的支援與下載資訊安排升級到 26H1u1 或供應商後續提供的合適修正版。26H1u1 是 9 月 3 日公告的修補基準，不能永久當成 10 月或未來的最新版本。更新前依組織程序保存設定、確認虛擬機與外掛相容性，選定可回復的維護窗口；更新後重新開啟產品、核對實際版本並測試必要的網路功能。若由中央軟體管理系統推送，應抽查終端上的已安裝版本，因為「已派送」與「已安裝且生效」是不同狀態。原廠公告沒有列出可替代更新的正式 workaround，不應把暫時的設定調整寫成等效修補。
在更新完成前，限制不必要的客體管理權限，是對已知前置條件的風險降低措施；仍不能替代原廠修補。宿主與客體的帳號權限應分開管理，避免把高敏感資料長期放在供不受信任客體操作的宿主上。這些是依公告條件提出的管理建議，並非 Broadcom 或 ZDI 宣布發生某種特定入侵。若組織已發現宿主異常，應保存既有紀錄並交由事件應變人員判斷，不應只憑安裝了受影響版本就推定漏洞已被利用，也不能因更新完成就直接排除先前事件的可能性。
目前的未解問題包括：各組織到底有多少客體採用 VMXNET3、哪些客體帳號具有管理權限、宿主是否保存敏感資料，以及不同維運環境能否立即更新。公開來源沒有提供每台機器的答案。Broadcom 與 ZDI 的文字也不能直接推導出未列名產品的受影響範圍。對企業而言，最有用的紀錄是一張把宿主產品版本、客體設定、修補窗口、更新後驗證及例外原因連在一起的表；讓後續人員能看出為何某台機器需要優先處理，以及修補是否真的落地。
這篇補刊記錄的是 Broadcom 於 2026 年 9 月 3 日的產品安全公告，以及 ZDI 於 9 月 9 日公開的獨立研究說明，資料在 10 月 4 日重新查核。原廠提供受影響產品、前置條件與修補版本；研究者補充 Workstation 的技術成因與同樣重要的高權限前提。兩者共同支持盡快盤點和修補，卻都不能證明特定組織已受害。維運決策應先確認自己是否使用列明版本與 VMXNET3，再完成產品更新、驗證版本，並把仍待確認的客體和宿主環境列入後續追蹤。
官方來源：
- VMSA-2026-0007: VMware Workstation and Fusion updates address integer-overflow and buffer overflow vulnerabilities（Broadcom）
- ZDI-26-647: VMware Workstation VMXNET3 TSO Segmentation Integer Overflow Local Privilege Escalation Vulnerability（TrendAI Zero Day Initiative）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。