Dell исправила девять уязвимостей в трёх инструментах для управления серверами. Самая тяжёлая - обход каталога в Dell System Update. Неаутентифицированный злоумышленник с сетевым доступом добирается до файловой системы машины, а затем выполняет произвольный код с правами root. Dell оценила эту уязвимость в 9.6 балла из 10 по шкале CVSS (система оценки опасности уязвимостей) и отнесла её к критическому уровню опасности. Под исправление попали Dell System Update, Dell Command Configure и Dell OpenManage Integration with Microsoft Windows Admin Center. Администраторы применяют их для обновления прошивок, настройки BIOS и управления парком Windows-серверов.
Уязвимости в трёх инструментах Dell для управления серверами
Пять уязвимостей в Dell System Update
Dell System Update ставит прошивки, драйверы и системные компоненты на серверы Dell. Утилита нередко работает по расписанию, поэтому её запускают с повышенными правами. Пять уязвимостей в версиях до 2.3.0.0 позволяют обойти такую защиту.
Главная из них - CVE-2026-86360 с рейтингом 9.6. Обход каталога даёт неаутентифицированному злоумышленнику доступ к файловой системе, а через неё - к выполнению произвольного кода с правами root. В описании Dell сказано прямо: успешная эксплуатация ведёт к полной компрометации приложения и операционной системы. Поэтому вендор советует обновляться как можно быстрее.
Ещё две уязвимости закрывает то же исправление, но для них нужен локальный доступ с низкими привилегиями. Это некорректное назначение прав на критичный ресурс и недостаточный контроль доступа, обе по 8.2 балла. Ещё две - некорректная проверка сертификата (7.6) и обход каталога (7.3) - открывают путь к удалённому выполнению кода. Патч вышел 1 октября 2026 года в версии 2.3.0.0. О находках сообщили Ori Gabriel, исследователь под псевдонимом saltedfish и Nir Yehoshua из Cipher Security Labs.
Утилита входит в набор Dell OpenManage и обслуживает серверы PowerEdge. Такие машины стоят в дата-центрах, поэтому исправление касается прежде всего корпоративного и государственного сектора.
Три уязвимости в Dell Command Configure
Dell Command Configure настраивает параметры BIOS и оборудования Dell из скриптов и пакетных файлов. Здесь Dell насчитала три уязвимости, все - в версиях до 5.2.3.35.
Одна из них получила 7.4 балла. Из-за некорректной обработки смешанного кодирования неаутентифицированный злоумышленник с сетевым доступом повышает свои привилегии в системе. Другая связана со встроенным криптографическим ключом (6.2): ключ позволяет вытащить закрытые данные тому, у кого есть локальный доступ. Третья - хранение пароля в открытом виде (5.5) - раскрывает учётные данные пользователю с низкими правами на самой машине.
Исправленные сборки для Windows и ARM64 вышли 23 сентября 2026 года под номером 5.2.3.35. Уровень угрозы по классификации вендора - High. Уязвимости нашли saltedfish и Ori Gabriel.
Внедрение команд в OpenManage Integration
Dell OpenManage Integration with Microsoft Windows Admin Center связывает серверы Dell с консолью управления Windows Admin Center. Здесь уязвимость одна - внедрение команд операционной системы, CVE-2026-101207, с рейтингом 8.8. Злоумышленнику хватает низких привилегий и удалённого доступа, чтобы выполнить собственный код на хосте.
Ошибка затрагивает версии до 3.7.0. Исправление - 3.7.0 или новее, оно опубликовано 29 сентября 2026 года. Об уязвимости сообщили SuperDevSecurity и Kai Huang из Armadin.
Что делать администраторам
Обновить Dell System Update до 2.3.0.0, Dell Command Configure до 5.2.3.35, Dell OpenManage Integration with Microsoft Windows Admin Center до 3.7.0. Сборки выложены на сайте поддержки Dell. До установки патчей ограничить доступ к консолям управления, оставив их только в доверенных сегментах сети. Утилиты обновления и настройки запускать под учётными записями с минимально нужными правами. Локальный доступ к серверам с DSU и DCC оставить узкому кругу администраторов.
Об эксплуатации этих уязвимостей в реальных атаках Dell не сообщает. Рейтинги отдельных ошибок не отражают общий риск. Утилиты управления инфраструктурой работают с правами root или администратора, поэтому сбой в них оборачивается полным контролем над сервером. Ставить исправления имеет смысл независимо от балла конкретной уязвимости.
Ссылки
- https://www.dell.com/support/kbdoc/en-us/000515026/dsa-2026-442-security-update-for-dell-openmanage-integration-with-microsoft-windows-admin-center
- https://www.dell.com/support/kbdoc/en-us/000502471/dsa-2026-378-security-update-for-dell-command-configure-for-multiple-vulnerabilities
- https://www.dell.com/support/kbdoc/en-us/000515843/dsa-2026-324-security-update-for-dell-system-update-dsu-vulnerabilities
