VMware et systèmes d’eau exposés

Une frontière de virtualisation remise en question

L’avis publié par Broadcom le 3 septembre replace VMware Workstation et VMware Fusion au centre d’un risque classique mais grave: l’évasion de machine virtuelle. Ces produits servent à exécuter un système invité dans un environnement supposé séparé de l’ordinateur hôte. Or Broadcom indique que CVE-2026-59346, une vulnérabilité de dépassement d’entier dans VMXNET3, peut être exploitée par un acteur disposant de privilèges administratifs locaux dans une machine virtuelle utilisant l’adaptateur réseau VMXNET3 afin d’exécuter du code sur l’hôte [1].

La seconde faille, CVE-2026-59347, concerne HGFS, le mécanisme de partage de fichiers entre invité et hôte. Broadcom la décrit comme un dépassement de tampon sur la pile pouvant permettre à un acteur disposant de privilèges administratifs locaux dans une VM d’exécuter du code dans le processus VMX de la machine virtuelle sur l’hôte [1]. L’avis est classé critique, avec une plage CVSS allant de 8,1 à 9,3, et les produits explicitement affectés sont VMware Workstation et VMware Fusion [1].

La correction officielle est claire: VMware Workstation 26H1u1 et VMware Fusion 26H1u1 corrigent les branches affectées 25H2 et 26H1 [1]. NHS England Digital a également publié une alerte le 3 septembre, en soulignant que ces vulnérabilités pouvaient conduire à une exécution de code arbitraire sur un système hôte depuis une machine virtuelle affectée et en recommandant l’application rapide de la mise à jour [3].

Pourquoi CVE-2026-59346 concentre le risque

CVE-2026-59346 est la faille la plus préoccupante, car son impact dépasse le périmètre de la VM. L’attaquant ne part pas d’Internet sans condition: il lui faut des droits administratifs locaux dans l’invité, et la VM doit utiliser VMXNET3. Mais le résultat décrit par Broadcom est une exécution de code sur l’hôte [1]. C’est précisément le scénario que les équipes de développement, de sécurité et de support cherchent à éviter lorsqu’elles placent des activités risquées dans une machine virtuelle.

Dans beaucoup d’environnements, les privilèges élevés dans une VM ne sont pas rares. Un développeur teste souvent des paquets avec des droits administrateur. Un analyste de sécurité peut exécuter des fichiers suspects dans un invité isolé. Une équipe informatique peut utiliser une VM pour reproduire l’environnement d’un client, tester un VPN ou maintenir une application ancienne. Si l’invité est compromis, la vulnérabilité transforme potentiellement cet incident contenu en compromission du poste hôte.

SecurityWeek a rapporté le 4 septembre que les deux vulnérabilités affectent Workstation et Fusion 25H2 et 26H1, et qu’elles sont corrigées en 26H1u1 [2]. Le média précise aussi que Broadcom ne mentionnait pas d’exploitation active connue et que les deux failles avaient été signalées de manière privée [2]. De son côté, Tenable indique pour son plugin VMware Workstation 25H2 et 26H1.x avant 26H1u1 qu’aucun exploit connu n’est disponible, tout en classant la détection comme critique et en recommandant la mise à jour [5].

Le faux confort de l’argument “admin dans la VM”

Le prérequis d’un accès administrateur dans l’invité peut donner une impression trompeuse de sécurité. Dans un serveur exposé, un tel prérequis limiterait fortement certains scénarios. Dans une VM de test, de recherche ou d’analyse, il est beaucoup moins rassurant. Ces machines sont souvent créées pour manipuler du code non fiable, installer des outils expérimentaux, tester des charges inconnues ou reproduire des incidents.

Il faut donc lire le risque autrement: si l’invité tombe, la barrière vers l’hôte peut tomber aussi. Sur un poste de travail, l’hôte contient souvent les clés SSH, les sessions de navigateur, les jetons d’identité d’entreprise, les dépôts de code, les intégrations de coffre de mots de passe, les agents EDR et les fichiers synchronisés. Une exécution de code sur l’hôte peut aussi donner accès à d’autres VM, à des partages locaux ou à des réseaux plus fiables que ceux de l’invité initial.

CVE-2026-59347 illustre le même problème par une autre voie. HGFS existe pour faciliter les échanges de fichiers entre invité et hôte, mais cette commodité crée une surface d’attaque sensible. Broadcom indique que cette faille peut permettre l’exécution de code dans le processus VMX sur l’hôte [1]. Pour une équipe qui utilise la VM comme zone de confinement, cette précision est essentielle: les fonctionnalités pratiques doivent être traitées comme des passerelles de confiance, pas comme de simples options de confort.

Pas de contournement: l’inventaire et le correctif priment

Broadcom ne liste aucun contournement pour CVE-2026-59346 ou CVE-2026-59347 [1]. La réponse opérationnelle ne peut donc pas reposer sur un simple réglage temporaire. Elle doit commencer par un inventaire des installations de VMware Workstation et Fusion, y compris sur les postes de développeurs, les machines de laboratoire, les ordinateurs de sous-traitants, les postes de support et les environnements qui échappent parfois aux cycles classiques de patch management.

Les versions à rechercher sont identifiées: Workstation 25H2 et 26H1, ainsi que Fusion 25H2 et 26H1, doivent passer en 26H1u1 [1]. L’avis CERT-FR du 4 septembre liste également les versions de Fusion antérieures à 26H1u1 et les versions de Workstation antérieures à 26H1u1 parmi les systèmes affectés, et renvoie au bulletin de l’éditeur pour obtenir les correctifs [4].

Pour les grandes organisations, la difficulté sera souvent la visibilité. VMware Workstation et Fusion ne sont pas toujours gérés comme des serveurs. Ils peuvent être installés librement, utilisés dans un laboratoire isolé, conservés pour des raisons de compatibilité ou présents sur des postes qui ne remontent pas correctement dans les tableaux de bord. Les équipes doivent croiser l’inventaire logiciel EDR, les outils de gestion de parc, les scanners de vulnérabilités et les contrôles locaux.

Une leçon plus large sur les frontières techniques

Cette alerte rappelle que la virtualisation reste du logiciel. Elle fournit une séparation utile, mais cette séparation dépend de composants concrets: pilotes virtuels, cartes réseau virtuelles, services de partage, processus d’exécution, interfaces de gestion. Lorsqu’une faille touche l’un de ces éléments, la frontière de confiance peut devenir poreuse.

Le cas VMware est parlant parce que les deux vulnérabilités concernent des fonctions courantes: VMXNET3 pour les performances réseau, HGFS pour le partage de fichiers [1]. Ces fonctions rendent les VM plus efficaces, mais elles augmentent aussi l’exposition. Les organisations qui manipulent du code non fiable dans des VM devraient désactiver les périphériques inutiles, limiter les dossiers partagés, restreindre le presse-papiers et le glisser-déposer entre invité et hôte, segmenter les postes de laboratoire et éviter que des identifiants de production soient accessibles depuis le même environnement.

La surveillance reste nécessaire même après la mise à jour. Les défenseurs devraient examiner les comportements inhabituels des processus VMware, les créations de processus inattendues depuis des composants de virtualisation, les écritures suspectes dans les dossiers partagés, les connexions réseau anormales depuis des postes de laboratoire et les changements de privilèges dans les VM utilisées pour l’analyse. L’absence d’exploitation connue dans les sources publiques récentes réduit l’urgence d’une réponse de crise, mais elle ne justifie pas d’attendre [2][5].

Les mesures à appliquer maintenant

La priorité est simple: recenser, vérifier, mettre à jour et contrôler. Les équipes doivent identifier toutes les installations de VMware Workstation et Fusion, confirmer les versions, appliquer 26H1u1, puis valider le résultat par inventaire ou scan plutôt que par déclaration utilisateur.

Ensuite, il faut revoir les usages. Un poste qui manipule du code source, des accès cloud, des données clients ou des identifiants d’administration ne devrait pas héberger sans précaution des VM exposées à du contenu non fiable. Les environnements qui ne peuvent pas être corrigés immédiatement doivent être isolés, documentés et retirés des flux de travail sensibles jusqu’à leur mise à niveau.

L’avis Broadcom est ciblé, mais son message dépasse deux CVE. La virtualisation réduit le risque quand elle est tenue à jour, durcie et surveillée. Elle l’augmente quand elle devient une frontière supposée absolue. Après cette divulgation, l’hypothèse prudente est claire: corriger l’hyperviseur de poste, réduire les ponts entre invité et hôte, et traiter toute compromission de VM comme un possible chemin vers le poste de travail.

Sources des dernières 72 heures

1. [1]VMware Workstation and Fusion Updates Patch Critical Vulnerability4 sept. 2026, 11:42 UTC
2. [2]Broadcom Releases Security Advisory for Critical Vulnerabilities in VMware Workstation and VMware Fusion3 sept. 2026, 13:57 UTC
3. [3]Multiples vulnérabilités dans les produits VMware4 sept. 2026, 00:00 UTC

Article généré par IA à partir d’une recherche web récente, puis conservé comme instantané éditorial daté.