Критическая уязвимость в Dell System Update даёт атакующим права root

Компания Dell выпустила предупреждение для корпоративных клиентов, настоятельно рекомендуя как можно скорее устранить критическую уязвимость в утилите командной строки Dell System Update (DSU). Этот инструмент используют ИТ-администраторы для развёртывания обновлений BIOS, прошивок и программного обеспечения на серверах PowerEdge под управлением Linux и Windows.

Суть проблемы

Уязвимость получила идентификатор CVE-2026-86360 и связана с ошибкой типа path traversal (выход за пределы разрешённого каталога). По словам Dell, неаутентифицированный злоумышленник с удалённым доступом потенциально может воспользоваться брешью, получив доступ к файловой системе. Компания называет уязвимость критической, поскольку она позволяет выполнить произвольный код с правами root, что может привести к полной компрометации приложения и операционной системы.

Примечательно, что именно к таким ошибкам давно приковано внимание регуляторов. ФБР и Агентство по кибербезопасности и защите инфраструктуры США (CISA) с мая 2024 года призывают разработчиков устранять уязвимости path traversal ещё до выпуска продуктов, напоминая, что подобные дефекты называют «непростительными» как минимум с 2007 года.

Что ещё исправили

В тот же день Dell закрыла ещё четыре уязвимости высокой степени опасности в System Update: две позволяют удалённо выполнить код (CVE-2026-63697 и CVE-2026-71168), ещё две — повысить привилегии (CVE-2026-86361 и CVE-2026-86362). Все они устраняются обновлением DSU до версии 2.3.0.0 или новее.

Отдельно компания призвала администраторов срочно установить патчи для двух уязвимостей максимальной степени опасности в Container Storage Modules (CVE-2026-63688 и CVE-2026-63692).

Контекст угроз

Пока Dell не отмечала признаков активной эксплуатации перечисленных брешей. Однако история показывает, что уязвимости в продуктах Dell охотно используют спонсируемые государствами группировки. Так, северокорейская группа Lazarus в своё время развернула руткит для Windows, эксплуатируя недостаток контроля доступа в драйвере dbutil (CVE-2021-21551).

Более свежий пример: в феврале компания Mandiant и Google Threat Intelligence Group сообщили, что предположительно китайская кибершпионская группа UNC6201 как минимум с середины 2024 года использовала уязвимость с зашитыми учётными данными в Dell RecoverPoint for Virtual Machines, создавая скрытые сетевые интерфейсы на серверах VMware ESXi. Аналитики нашли пересечения между UNC6201 и группой Silk Typhoon, известной атаками на госучреждения. Вскоре после этого CISA обязала федеральные ведомства устранить уязвимые системы Dell в течение трёх дней.

Источник: Bleeping Computer