VMware Workstation ve VMware Fusion kullanıcılarının dikkat etmesi gereken ciddi bir güvenlik açığı ortaya çıktı. Broadcom tarafından 3 Eylül 2026 tarihinde yayımlanan güvenlik duyurusunda, VMware Workstation ve Fusion ürünlerini etkileyen iki farklı güvenlik açığı için güncelleme yayınlandı.
Açıklardan biri CVSS 9.3 ile kritik seviyede değerlendirilirken, diğer açığın CVSS skoru 8.1 olarak açıklandı.
Daha önemlisi, söz konusu açıklar sanal makine içerisindeki saldırganın belirli koşullar altında sanallaştırma katmanını aşarak fiziksel host işletim sistemi üzerinde kod çalıştırmasına yol açabiliyor.
Bu tarz açıklar genel olarak VM Escape olarak adlandırılıyor.
Hangi ürünler etkileniyor?
Broadcom'un güvenlik duyurusuna göre:
- VMware Workstation 25H2
- VMware Workstation 26H1
- VMware Fusion 25H2
- VMware Fusion 26H1
Güvenlik problemleri VMware Workstation ve VMware Fusion'ın ilgili sürümlerinde bulunuyor ve hem Windows/Linux tarafındaki Workstation kullanımlarını hem de macOS üzerindeki Fusion kurulumlarını ilgilendiriyor.
1. CVE-2026-59346 — CVSS 9.3
İlk ve daha kritik açık CVE-2026-59346 olarak takip ediliyor.
Bu açık, VMware Workstation ve Fusion içerisinde kullanılan VMXNET3 sanal ağ adaptörünün işlenmesi sırasında oluşan bir integer overflow probleminden kaynaklanıyor.
Broadcom'un açıklamasına göre saldırganın sanal makine içerisinde yerel yönetici yetkilerine sahip olması ve VM'nin VMXNET3 sanal ağ adaptörünü kullanması gerekiyor.
Bu koşullar sağlandığında saldırgan, sanal makinenin sınırlarının dışına çıkarak host işletim sistemi üzerinde kendi kodunu çalıştırabilecek bir konuma gelebiliyor.
Buradaki en önemli nokta şu:
Sanal makineye bulaşan bir zararlı yazılım, teorik olarak sadece sanal makinenin içerisinde kalmak zorunda değil.
Açığın başarılı şekilde kullanılması durumunda hedef artık fiziksel host işletim sistemi haline gelebiliyor.
2. CVE-2026-59347 — CVSS 8.1
İkinci güvenlik açığı ise CVE-2026-59347.
Bu kez problem VMware'in HGFS (Host Guest File Sharing) bileşeninde bulunan stack-based buffer overflow olarak tanımlanıyor.
HGFS, host ile guest işletim sistemi arasında dosya paylaşımı gibi entegrasyon özelliklerinde kullanılan bileşenlerden biri.
Broadcom'a göre saldırgan, sanal makine içerisinde gerekli yerel yönetici yetkilerine sahip olduğunda açığı kullanarak host üzerinde çalışan VMware VMX prosesinin yetkileriyle kod çalıştırabilecek bir duruma gelebiliyor.
Bu açık CVSS 8.1 ile "Important" seviyesinde değerlendirilmiş olsa da sonuç itibarıyla yine guest-to-host kod çalıştırma riski oluşturması nedeniyle göz ardı edilmemesi gerekiyor.
Neden bu kadar önemli?
Sanal makinelerin en önemli güvenlik avantajlarından biri izolasyondur.
Örneğin bir sistem yöneticisi:
Host işletim sistemi
└── VMware Workstation
└── Windows VM
└── Linux VM
└── Test VM
şeklinde bir yapı kullanıyorsa, normal şartlarda VM içerisindeki bir zararlı yazılımın host işletim sistemine doğrudan erişememesi beklenir.
VM escape açığının önemi tam olarak burada ortaya çıkıyor.
Saldırgan önce sanal makine içerisinde bir şekilde yönetici yetkisi elde ediyor. Daha sonra VMware'in sanallaştırma katmanındaki güvenlik açığını kullanarak host sistem üzerinde kod çalıştırmaya çalışıyor.
Başarılı olması durumunda saldırı zinciri şu hale gelebilir:
Guest VM → VMware Hypervisor/Virtualization Layer → Host OS
Bu nedenle özellikle güvenilmeyen yazılımların, malware analizlerinin, exploit testlerinin veya şüpheli dosyaların sanal makinelerde çalıştırıldığı sistemlerde konu daha fazla önem taşıyor.
"VM kullanıyorum, host güvende" yaklaşımı neden yeterli değil?
Sanal makineler çok güçlü bir izolasyon mekanizması sağlıyor ancak izolasyon mutlak bir güvenlik sınırı değil.
VMware gibi kompleks sanallaştırma yazılımları host işletim sistemiyle çok sayıda bileşen üzerinden iletişim kuruyor.
Örneğin:
- Sanal ağ adaptörleri
- Host-guest dosya paylaşımı
- Clipboard paylaşımı
- Drag & drop
- USB passthrough
- Shared folders
- Sanal diskler
- Grafik hızlandırma
- Guest integration özellikleri
Bu bileşenlerden birinde ortaya çıkan memory corruption, buffer overflow veya integer overflow gibi bir güvenlik problemi, uygun koşullarda izolasyon sınırının aşılmasına neden olabilir.
Bu nedenle özellikle güvenilmeyen sistemleri çalıştıran kullanıcıların VMware yazılımını güncel tutması önemli.
Şu anda aktif olarak kullanılıyor mu?
Şu an için bu iki açığın gerçek saldırılarda aktif olarak kullanıldığına ilişkin bir kanıt bulunmadığı bildiriliyor.
Ancak bu durum rehavete neden olmamalı.
VMware ürünlerindeki daha önceki güvenlik açıklarının saldırganlar tarafından hedef alındığı biliniyor. Nitekim Ağustos 2026'da VMware vCenter ile ilişkili bazı açıkların gerçek saldırılarda istismar edildiğine dair raporlar da yayımlandı.
Özellikle VM escape kategorisindeki açıklar saldırganlar açısından değerli olabilir. Çünkü saldırganın guest işletim sisteminden host işletim sistemine geçebilmesi, tek bir VM'nin ele geçirilmesinden çok daha büyük bir etki alanı oluşturabilir.
Çözüm nedir?
Broadcom tarafından bu iki güvenlik açığı için yayınlanan düzeltilmiş sürüm:
VMware Workstation 26H1u1
ve
VMware Fusion 26H1u1
olarak belirtiliyor.
Broadcom ayrıca bu açıklar için uygulanabilecek bir workaround bulunmadığını açıkça belirtiyor.
Dolayısıyla etkilenen sürümleri kullanan sistemlerde en doğru yaklaşım güncellemeyi uygulamak.
Sistem yöneticileri ne yapmalı?
Özellikle kurumsal sistemlerde aşağıdaki kontrollerin yapılması mantıklı olacaktır:
1. VMware sürümünü kontrol edin.
Workstation/Fusion sürümünün 25H2 veya 26H1 olup olmadığını kontrol edin.
2. VMXNET3 kullanımını kontrol edin.
CVE-2026-59346 özellikle VMXNET3 sanal ağ adaptörüyle ilişkili.
3. Host-guest entegrasyonlarını gözden geçirin.
Gereksiz shared folder, HGFS ve benzeri entegrasyon özelliklerini kullanmamak saldırı yüzeyini azaltabilir.
4. Güvenilmeyen VM'leri ayrı tutun.
Malware analizi, crackli yazılım testi veya güvenilir olmayan dosyaların çalıştırıldığı VM'lerin kritik host sistemlerinden izole edilmesi önemli.
5. Host işletim sistemini de güncel tutun.
VMware'i güncellemek tek başına bütün güvenlik problemlerini çözmez. Host OS, sürücüler ve diğer sanallaştırma bileşenleri de güncel tutulmalı.
6. VM'leri güvenlik sınırı olarak görmeyin.
Özellikle yüksek riskli ortamlarda "bu sistem VM üzerinde, dolayısıyla güvenli" yaklaşımı doğru bir güvenlik modeli değil.
Sonuç
CVE-2026-59346 ve CVE-2026-59347, VMware Workstation ve Fusion kullananların göz ardı etmemesi gereken iki önemli güvenlik açığı.
Özellikle CVE-2026-59346'nın CVSS 9.3 seviyesinde olması ve uygun koşullarda guest içerisinden host üzerinde kod çalıştırılmasına imkan verebilmesi, konuyu sıradan bir yazılım güncellemesinden daha önemli hale getiriyor.
Şu an için bu iki açığın aktif saldırılarda kullanıldığına dair bir bilgi bulunmuyor. Ancak saldırganın öncelikle VM içerisinde yönetici yetkisi elde etmesi gerektiği unutulmamalı. Bu nedenle saldırı, genellikle başka bir güvenlik probleminin ardından gelebilecek ikinci aşama bir saldırı olarak değerlendirilmelidir.
VMware Workstation veya Fusion kullanıyorsanız sürümünüzü kontrol etmenizde ve mümkün olan en kısa sürede 26H1u1 sürümüne geçmenizde fayda var.
Kısacası: VM'nin içinde olmak saldırganın mutlaka VM'nin içinde kalacağı anlamına gelmiyor.
Kaynaklar:
Broadcom Security Advisory — VMSA-2026-0007
CVE-2026-59346
CVE-2026-59347
Bu yazıyı sizin için kendi edindiğim bilgi ve görüşlerim ile yapay zeka aracılığı ile toparladım ve daha anlaşılabilir hale getirdim. Lütfen dikkatli olalım.