Multiple Dell PowerProtect Vulnerabilities Allow Hackers to Gain Full System Access Remotely
2026/07/15 CyberSecurityNews — Dell が公表したのは、PowerProtect Data Domain (DD) 製品に存在する複数の深刻な脆弱性に対処するための、セキュリティ更新プログラムのリリースである。これらの脆弱性を悪用する未認証のリモート攻撃者は、影響を受けるシステムの完全な制御が可能になる。この脆弱性の影響が及ぶ範囲は、Data Domain アプライアンス／Data Domain Virtual Edition／APEX Protection Storage／Data Domain Management Center などの、複数の PowerProtect Data Domain プラットフォームである。
最も深刻な脆弱性は、有効な認証情報やユーザーの操作を必要としないリモート攻撃者に対して、インターネットに公開されたシステムの完全な制御を許すものである。このうち、特に深刻な 2 件の脆弱性 CVE-2026-53483／CVE-2026-53481 は、いずれも CVSS スコア 9.8 (Critical) と評価されている。
これらの脆弱性の CVSS ベクターによると、ネットワーク経由で悪用が可能であり、攻撃の複雑度は低く、特権を必要とせず、被害者の操作も不要となる。
1 つ目の CVE-2026-53483 は、Dell PowerProtect Data Domain における不適切な認証の脆弱性であり、リモートから攻撃可能な認証されていない攻撃者に、脆弱なデバイスへの不正アクセスを許す可能性があり、システムの完全な制御が奪われる可能性がある。Dell は顧客に対して、可能な限り速やかに更新プログラムを適用するよう強く呼びかけている。
2 つ目の CVE-2026-53481 はパス・トラバーサルの脆弱性であり、制限されたディレクトリに対するパス名の制限が適切に機能していないことに起因する。この脆弱性を悪用する未認証のリモート攻撃者は、本来意図されたディレクトリ境界の外側にあるリソースへのアクセスが可能になる。
Dell PowerProtect の脆弱性
この脆弱性の悪用に成功した攻撃者は、システムへの不正アクセスや、影響を受けるプラットフォームに対する完全な侵害を引き起こす可能性がある。その影響が及ぶ範囲は、DD OS バージョン 7.7.1.0～8.7.0.0 となる。
また、サポート対象の Long-Term Support (LTS) ブランチも対象となり、具体的には DD OS 8.6.1.0～8.6.1.10 を実行する LTS システム／DD OS 8.3.1.0～8.3.1.30 を実行する LTS2025 環境／DD OS 7.13.1.0～7.13.1.70 を実行する LTS2024 システムが含まれる。
すでに Dell は、サポート対象の各ブランチ向けに、パッチ適用済みのバージョンをリリースしている。Feature Release を利用している組織は、選択したリリース・パスに応じて DD OS 8.7.0.0 以降／8.8.0.0 以降へアップグレードする必要がある。Long-Term Support (LTS) リリースを利用している顧客は、DD OS 8.6.1.20／8.3.1.40／7.13.1.80 以降のバージョンへ移行すべきである。
このアドバイザリでは、サードパーティ製コードおよび独自開発コードの脆弱性を含む、PowerProtect Data Domain ソフトウェアおよび管理コンポーネントに影響を及ぼす広範な脆弱性についても取り上げている。その更新プログラムは、DD OS 8.8／8.7／8.6.1／8.3.1／7.13.1 の各バージョン向けに提供される。
データ保護システムは、バックアップデータ／リカバリ・ポイント／認証情報／運用情報を保存していることが多いため、価値の高い標的となる。システムが完全に侵害されると、保護されたデータの窃取／コンフィグの変更／バックアップ運用の妨害／ランサムウェアを展開する前のリカバリ・コピーの削除などが実行される可能性がある。
ユーザー組織は、インターネットからアクセス可能な Data Domain システムと、リモート管理されている Data Domain システムへのパッチ適用を優先すべきである。また、管理インターフェースを信頼できるネットワークに限定し、認証ログ／アクセスログを確認することで異常なアクティビティの有無を調査した上で、アップグレード後にインストール済みバージョンを確認する必要がある。
Dell が指摘するのは、一部の脆弱性スキャナでは、修正後も False Positive (誤検知) が報告され続ける可能性があることだ。管理者は、Dell の関連 Knowledge Base 記事を参照し、パッチの適用状況を確認すべきである。
今回の脆弱性は、製品における不適切な認証やパス名の制限不備といった、システム設計時や実装時の検証漏れが主な原因となっています。特に CVE-2026-53483 や CVE-2026-53481 は、不適切な認証や制御に起因し、外部からのシステム制御の奪取に至る恐れがあります。ご利用のチームは、アップグレードをお急ぎください。よろしければ、Dell での検索結果も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.