文章总结： 博通为VMwareFusion发布安全更新修复高危漏洞CVE-2026-41702，该漏洞为TOCTOU竞争条件漏洞，允许本地攻击者将权限提升至root级别。建议用户尽快安装更新以降低权限提升攻击风险。 综合评分： 80 文章分类： 漏洞预警,终端安全

博通发布 VMware Fusion 安全更新，修复本地提权至 Root 权限漏洞

鹏鹏同学 鹏鹏同学

黑猫安全

2026年5月15日 14:24 湖北

在小说阅读器读本章

去阅读

博通为 VMware Fusion 发布安全更新，修复了一个高危漏洞，漏洞编号 CVE-2026-41702。该漏洞可让本地攻击者在受影响系统上将权限提升至 Root 级别。

此漏洞属于检查时间与使用时间（TOCTOU） 竞争条件漏洞，影响一个SETUID 权限二进制程序的相关操作，由安全研究员马蒂厄・法雷尔上报。

博通表示，拥有本地普通用户权限、非管理员权限的攻击者，可利用该漏洞在安装了 VMware Fusion 的系统中提权至 Root 权限。

安全公告中写道：VMware Fusion 存在一处本地权限提升漏洞，已由安全人员私下上报给博通。 目前已提供更新补丁，用于修复博通旗下受影响产品的该漏洞。

一旦漏洞利用成功，仅有普通访问权限的攻击者便可完全控制受攻击主机，大幅提升账号被盗、内部人员威胁带来的安全风险。

TOCTOU 漏洞原理：系统先对资源状态进行检查，后续使用该资源时却未校验期间状态是否发生变更。攻击者可利用这一时间差篡改文件、权限及其他资源，以提升后的权限执行未授权操作。

VMware Fusion 广泛被开发者、IT 运维人员和安全研究人员用于在 macOS 上运行虚拟机。该漏洞需要本地物理 / 本地账号访问才能利用，不会直接暴露系统遭受远程入侵。但权限提升漏洞对攻击者价值极高，可将有限的入侵立足点转化为对整机的完全控制。

本次补丁发布正值博通参与本周在柏林举办的 Pwn2Own 黑客大赛。该赛事由趋势科技零日漏洞计划主办，汇聚全球顶尖安全研究员，演示针对主流企业及民用软硬件的零日漏洞利用攻击。

由于虚拟化漏洞利用价值极高，VMware 产品历来都是 Pwn2Own 赛事的热门攻击目标。本届大赛参赛者预计将展示针对 VMware ESX 的攻击，利用演示成功最高可获 20 万美元奖金。

值得一提的是，往届 Pwn2Own 常年作为热门目标、且为研究员带来高额奖金的 VMware Workstation，已被移出本届赛事参赛目标列表。

建议部署使用 VMware Fusion 的企业及个人用户尽快安装最新安全更新，降低遭遇权限提升攻击的风险。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：黑猫安全 鹏鹏同学 鹏鹏同学《博通发布 VMware Fusion 安全更新，修复本地提权至 Root 权限漏洞》