Dell выпустила обновление безопасности для Wyse Management Suite. Это консоль, через которую администраторы управляют парком тонких клиентов и раздают им настройки. Уязвимости межсайтового скриптинга в веб-интерфейсе позволяют внедрить в страницу посторонний скрипт. Он выполнится в браузере сотрудника, который откроет эту страницу, и получит доступ к его сессии в консоли. Под угрозой организации, где WMS развёрнута во внутренней сети и обслуживает рабочие места.
Разбор уязвимостей
Межсайтовый скриптинг появляется там, где приложение выводит введённые пользователем данные без нейтрализации. Браузер принимает такой текст за код и исполняет его. Для консоли управления это значит, что чужая строка в поле формы может сработать как команда. Компромисс консоли дороже обычной ошибки на публичном сайте. Через WMS проходят конфигурации и обновления для клиентских устройств.
Условия атаки
CVE-2026-82159 работает по сети и не требует участия пользователя. Злоумышленнику хватает низкопривилегированной учётной записи внутри консоли. CVE-2026-82161 тоже атакует удалённо, но жертва должна открыть подготовленную страницу. У CVE-2026-82158 удалённый вектор сочетается с обязательным действием пользователя. Зато последствия выходят за границы уязвимого компонента.
CVE-2026-82160 требует локального доступа. Она затрагивает только конфиденциальность, а целостность и доступность оставляет нетронутыми. Для удалённых сценариев от злоумышленника нужна сетевая доступность консоли и действующая учётная запись с минимальными правами. Без этого цепочка не складывается.
Оценки и сведения об эксплуатации
Самый высокий балл - 9,0 по CVSS 3.1 у CVE-2026-82158. У CVE-2026-82159 - 8,8, у CVE-2026-82161 - 6,8, у CVE-2026-82160 - 3,3. Dell в уведомлении DSA-2026-405 называет уровень опасности критическим. Компания советует смотреть не только на базовую оценку, но и на временные и средовые метрики.
В реестре CVE обогащение от CISA отмечает: признаков эксплуатации нет, автоматизация атаки невозможна. Dell сведений об атаках в реальных условиях не приводит. Детали уязвимостей раскрыли публично 2026-10-13. Подтверждений использования против живых систем к этому моменту нет.
Выпуск исправления
Проблему устранили в версии 2609.0.0.155. Релиз датирован 28.09.2026, уязвимы все сборки ниже этой отметки. Уведомление DSA-2026-405 в первой редакции вышло 2026-10-08. Обходных мер Dell не предложила, поэтому обновление остаётся единственным способом защититься.
Ставится оно на сервер, где развёрнута WMS. После установки страницы консоли перестают исполнять внедрённый текст. Если консоль смотрит в интернет, после патча стоит проверить список учётных записей и сузить сетевой доступ. Локальный вектор CVE-2026-82160 напоминает, что права на самой машине тоже требуют ревизии.
Ссылки
