- Aktif istismar
- Yama var
- CWE-367
CVE-2025-22224
VMware ESXi ve Workstation'da TOCTOU yarış durumu: VMX sürecinde kod çalıştırma
VMware Cloud FoundationVMware ESXiVMware Telco Cloud Infrastructure
- Yayımlandı
- Güncellendi
- 26 Şub 2026
- Açık yaşı
- 603 gün
- Kaydı açan
- vmware
Yönetici özeti
Bu açık, bir sanal makineyi ele geçiren saldırganın o makineyi barındıran fiziksel sunucuya ve üzerindeki diğer sistemlere ulaşmasına imkân tanıyor. Açığın aktif olarak saldırılarda kullanıldığı bilindiği için güncellemelerin gecikmeden uygulanması gerekiyor.
ÖzetTürkçe
VMware ESXi ve Workstation, kontrol anı ile kullanım anı arasındaki zaman farkından kaynaklanan (TOCTOU, CWE-367) bir yarış durumu açığı içeriyor ve bu açık sınır dışı yazmaya yol açıyor. Sanal makine üzerinde yerel yönetici yetkisine sahip bir saldırgan, açığı kullanarak sanal makinenin ana makine üzerinde çalışan VMX sürecinin yetkileriyle kod çalıştırabilir. Etkilenen ürünler arasında ESXi 7.0 ve 8.0 sürümleri, Workstation 17.x sürümleri ile VMware Cloud Foundation, Telco Cloud Platform ve Telco Cloud Infrastructure bulunuyor. Açık CISA KEV listesine eklenmiştir, yani aktif olarak istismar edilmektedir.
Saldırgan ne yapabilir?
Saldırgan, misafir sanal makineden çıkarak ana makine üzerinde VMX süreci bağlamında kod çalıştırabilir. Bu durum gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratır ve aynı sunucudaki diğer sanal makineleri tehlikeye atabilir.
Kaynaktaki açıklama (İngilizce)
VMware ESXi, and Workstation contain a TOCTOU (Time-of-Check Time-of-Use) vulnerability that leads to an out-of-bounds write. A malicious actor with local administrative privileges on a virtual machine may exploit this issue to execute code as the virtual machine's VMX process running on the host.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- VMware ESXi için düzeltilmiş sürümleri kurun: 8.0 U3 için ESXi80U3d-24585383, 8.0 U2 için ESXi80U2d-24585300, 7.0 için ESXi70U3s-24585291. Üretici
- VMware Workstation kullanıyorsanız 17.6.3 sürümüne yükseltin. Üretici
- VMware Cloud Foundation, Telco Cloud Platform ve Telco Cloud Infrastructure kullanıcıları, Broadcom'un yayımladığı ürüne özel yama talimatlarını izlemelidir. Üretici
- CISA gereği: Üretici talimatlarına göre önlemleri uygulayın, bulut hizmetleri için geçerli BOD 22-01 yönergelerini izleyin; önlemler mümkün değilse ürünün kullanımını sonlandırın. CISA
Ek önlemler
- Sanal makinelerdeki yerel yönetici hesaplarını sınırlandırın ve yönetici erişimini yalnızca gerekli kullanıcılara verin. Genel öneri
- ESXi sunucularında beklenmeyen VMX süreci davranışlarını ve sanal makine kaçışı belirtilerini izleyin. Genel öneri
- Yönetim ağını izole edin ve hipervizör yamalarını düzenli bir takvimle uygulayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler5 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| VMware Cloud Foundation | Sürüm belirtilmemiş | – |
| VMware ESXi | ≥ 8.0, < ESXi80U3d-24585383 | ESXi80U3d-24585383 |
| ≥ 8.0, < ESXi80U2d-24585300 | ESXi80U2d-24585300 | |
| ≥ 7.0, < ESXi70U3s-24585291 | ESXi70U3s-24585291 | |
| VMware Telco Cloud Infrastructure | Sürüm belirtilmemiş | – |
| VMware Telco Cloud Platform | Sürüm belirtilmemiş | – |
| VMware Workstation | ≥ 17.x, < 17.6.3 | 17.6.3 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.