Dell System Update の脆弱性 CVE-2026-86360 などが FIX：root 権限によるコード実行の恐れ

New Dell System Update flaw lets hackers gain root privileges

2026/10/05 BleepingComputer — Dell が公表したのは、Dell System Update (DSU) コマンドライン・インターフェイス (CLI) 導入ツールに存在する重大な脆弱性の情報であり、顧客に対して可能な限り早急にパッチを適用するよう求めている。DSU は、PowerEdge エンタープライズサーバ基盤上の Linux／Windows システムに対して、企業の IT 管理者が BIOS／ファームウェア／ソフトウェアの更新を適用するためのツールである。10月1日 (木) に Dell は、パストラバーサルの脆弱性 CVE-2026-86360 を悪用する攻撃者が、パッチ未適用のデバイス上で root 権限によるコード実行を可能にすると、セキュリティ・アドバイザリで説明した。

Dell によると、「この脆弱性を悪用するリモートアクセスが可能な未認証の攻撃者が、ファイルシステムへアクセスする可能性がある。この脆弱性により、root 権限で任意のコード実行が可能になるため、重大な脆弱性とみなされている。悪用に成功した攻撃者により、脆弱なアプリケーション／基盤となるオペレーティング・システムが完全に侵害される可能性がある」と述べている。

2024年5月以降において、FBI および CISA はソフトウェア企業に対して、製品を出荷する前にパストラバーサルの脆弱性を排除するよう求めてきた。この種のセキュリティ上の問題について、遅くとも 2007年以降は許されない脆弱性とされてきたと、両機関は指摘している。

10月1日 (木) に Dell は、Dell System Update に存在する、深刻度の高い 4 件の脆弱性の修正も行っている。このうちの CVE-2026-63697／CVE-2026-71168 が、リモート攻撃者に悪用されると、リモートコード実行が引き起こされる可能性がある。また、CVE-2026-86361／CVE-2026-86362 は、権限昇格に悪用される可能性がある。

Dell は「可能な限り早期のアップグレードを推奨する」と説明し、これらの脆弱性が修正された Dell System Update (DSU) 2.3.0.0 以降へとアップデートするよう、顧客に勧告している。

同日に Dell は IT 管理者に対して、Container Storage Modules (CSM) に存在する高深刻度の 2 件の脆弱性 CVE-2026-63688／CVE-2026-63692 についても、可能な限り早急にパッチを適用するよう求めた。

現時点において Dell は、これらの脆弱性が実環境で悪用されているとはしていないが、近年の国家支援型の攻撃グループが、Dell 製品の脆弱性群を攻撃で悪用した事例が確認されている。たとえば、北朝鮮の攻撃グループ Lazarus は、Dell dbutil ドライバに存在する不十分なアクセス制御の脆弱性 CVE-2021-21551 を悪用し、被害者のシステムへ Windows ルートキットを展開した。

さらに、Mandiant／Google Threat Intelligence Group (GTIG) が 2026年2月に明らかにしたところによると、UNC6201 として追跡されている中国のサイバースパイとみられる攻撃者が、遅くとも 2024年半ばから Dell RecoverPoint for Virtual Machines に存在するハードコードされた認証情報の脆弱性 CVE-2026-22769 を悪用していた。この攻撃者は、VMware ESXi サーバ上に隠しネットワーク・インターフェイスを作成し、マルウェアのペイロードを展開していた。

また、UNC6201 と中国のサイバー諜報グループ Silk Typhoon の活動には、重複が確認されている。Silk Typhoon は、Ivanti のゼロデイ攻撃で独自のZipline／Spawnantマルウェアを使用し、政府機関を標的にすることで知られている。

Dell System Update (DSU) における重大な脆弱性についての情報が公開されています。サーバ管理を担うツールに存在するパストラバーサルの不備に伴い、システム権限でのコード実行／不正なファイルアクセス／OS 全体の完全な制御権取奪といった被害が生じるおそれがあります。なお、対象となる CVE は CVE-2026-86360／CVE-2026-63697／CVE-2026-71168／CVE-2026-86361／CVE-2026-86362 です。対応策として修正済みバージョンへの更新／アクセス権限の見直しが求められます。