Broadcom이 VMware Workstation과 Fusion에서 발견된 두 가지 보안 취약점에 대한 패치를 배포했습니다. 그 중 CVE-2026-59346(CVSS 9.3)은 가상머신(VM) 안에서 호스트 시스템의 코드를 마음대로 실행할 수 있는 심각한 'VM 탈출(VM escape)' 취약점입니다. 두 취약점 모두 악용하려면 가상머신 내 관리자 권한이 필요하지만, 공격자는 피싱이나 취약한 설정을 이용해 그 권한을 먼저 확보할 수 있습니다. 현재까지 실제 악용 사례는 확인되지 않았으나, 관련 VMware 제품군(vCenter)에서는 이미 적극적인 공격이 포착되고 있어 신속한 패치 적용이 필요합니다. 영향을 받는 버전은 Workstation과 Fusion 25H2·26H1이며, 우회책이 없으므로 반드시 26H1u1로 업그레이드해야 합니다.
Broadcom이 VMware Workstation·Fusion의 VM 탈출 취약점 2건(CVE-2026-59346, CVE-2026-59347)을 공개하고 보안 업데이트를 배포했다. CVE-2026-59346은 VMXNET3 가상 네트워크 어댑터의 정수 오버플로우(integer overflow), CVE-2026-59347은 HGFS의 스택 기반 버퍼 오버플로우(stack-based buffer overflow)다.
가상머신 내 관리자 권한을 가진 공격자가 호스트 시스템에서 임의 코드를 실행할 수 있다. 별도로 언급된 vCenter 취약점(CVE-2026-59309·59310)은 47개국 361개 IP에서 실제 피해가 확인됐으며, 중국 연계 APT 그룹이 배후로 의심된다.
CVE-2026-59346은 VMXNET3 어댑터 처리 과정의 정수 오버플로우, CVE-2026-59347은 HGFS 처리 과정의 스택 버퍼 오버플로우로 인해 VMX 프로세스 권한으로 코드 실행이 가능해진다.
Broadcom이 VMware Workstation 26H1u1 및 VMware Fusion 26H1u1에서 두 취약점을 모두 패치했다. 별도의 우회책(workaround)은 제공되지 않는다.
영향받는 버전(25H2, 26H1) 사용자는 즉시 26H1u1로 업그레이드해야 한다. 초기 공격 권한은 피싱 등으로 획득될 수 있으므로, 패치와 함께 VM 내부 계정 권한 최소화 및 피싱 대응 체계도 점검할 필요가 있다.
본문
Ravie Lakshmanan 2026년 9월 5일 | 취약점 / 서버 보안
Broadcom이 VMware Workstation과 Fusion에 영향을 미치는 두 가지 보안 결함에 대한 보안 업데이트를 배포했다. 그 중 하나는 특정 조건에서 임의 코드 실행으로 이어질 수 있는 치명적인 버그다.
CVE-2026-59346(CVSS 점수: 9.3)으로 추적되는 이 취약점은 정수 오버플로우(integer overflow) 취약점으로, 상승된 권한을 가진 로컬 공격자가 임의 코드를 실행하는 데 악용할 수 있다.
Broadcom은 공지를 통해 "VMXNET3 가상 네트워크 어댑터가 탑재된 가상머신에서 로컬 관리자 권한을 가진 악의적인 행위자가 이 취약점을 악용해 호스트에서 코드를 실행할 수 있다"고 밝혔다.
이 기술 기업은 해당 취약점을 발견한 @h4urek, @cameudis, Stan S에게 공로를 인정했다.
Broadcom은 HGFS의 스택 기반 버퍼 오버플로우(stack-based buffer overflow) 취약점인 CVE-2026-59347(CVSS 점수: 8.1)도 함께 패치했다. 이 취약점은 가상머신에서 로컬 관리자 권한을 가진 공격자가 호스트에서 실행 중인 가상머신의 VMX 프로세스 권한으로 코드를 실행하는 데 악용될 수 있다.
Tencent Xuanwu Lab의 Yeonghyeon Choi와 Tianchu Chen이 이 취약점을 제보한 것으로 인정받았다.
두 경우 모두 성공적인 악용을 위해서는 공격자가 로컬 관리자 권한을 미리 보유해야 한다. 다만 해당 권한은 피싱이나 취약한 사용자 설정 악용 등 별도의 침해를 통해 획득할 수 있다는 점에 유의해야 한다.
두 취약점은 VMware Workstation과 VMware Fusion 25H2 및 26H1 버전에 영향을 미친다. Broadcom은 두 취약점을 해결하는 별도의 우회책(workaround)이 없다고 밝히며, VMware Workstation 26H1u1 및 VMware Fusion 26H1u1에서 패치가 완료됐다고 덧붙였다.
현재 해당 보안 결함이 실제 환경에서 악용됐다는 증거는 없지만, VMware 제품의 취약점은 지속적인 공격 대상이 돼왔다.
불과 지난달에는 위협 행위자들이 VMware vCenter의 두 가지 취약점, 즉 CVE-2026-59309와 CVE-2026-59310을 적극적으로 악용하는 정황이 포착됐으며, 후자는 중국과 연계된 고도지속위협(APT, Advanced Persistent Threat) 행위자에 의해 무기화된 것으로 의심된다.
취약점 공개 후 불과 5일 만에 시작된 이 공격 활동은 47개국에서 361개의 고유 피해자 IP 주소를 침해한 것으로 추정된다. 감염 사례는 독일(55건), 미국(41건), 터키(38건), 이란(26건), 프랑스(25건)에 집중됐다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
