Dell System Updateに重大な脆弱性CVE-2026-86360、未認証の攻撃者がroot権限でコード実行の可能性|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月07日更新日時: 2026年10月07日

Dell Technologiesは2026年10月1日、Dell PowerEdgeサーバーの更新に利用される「Dell System Update（DSU）」に複数の脆弱性が存在するとして、セキュリティアドバイザリ「DSA-2026-324」を公開しました。

最も深刻なのはパストラバーサルの脆弱性「CVE-2026-86360」で、CVSS v3.1の基本値は9.6（Critical）です。Dellによると、リモートからアクセス可能な未認証の攻撃者が悪用し、ファイルシステムへのアクセスやroot権限で任意コードを実行できる可能性があります。

影響を受けるのはDell System Update 2.3.0.0未満で、Dellは2.3.0.0以降への更新を推奨しています。同じアップデートでは、権限昇格やコード実行につながる4件の脆弱性も修正されています。

Dell System Updateの脆弱性のサマリー

項目	内容
製品	Dell System Update（DSU）
アドバイザリ	DSA-2026-324
公開日	2026年10月1日
最重要CVE	CVE-2026-86360
脆弱性	Path Traversal
CVSS v3.1	9.6（Critical）
影響バージョン	2.3.0.0未満
修正版	2.3.0.0以降
想定される影響	ファイルシステムへのアクセス、root権限での任意コード実行、OSを含むシステム侵害

Dellのセキュリティアドバイザリ「DSA-2026-324」によると、CVE-2026-86360はDell System Update 2.3.0.0未満に存在するパストラバーサルの脆弱性です。

Dellは、リモートからアクセス可能な未認証の攻撃者がこの脆弱性を悪用した場合、攻撃者がファイルシステムへアクセスできる可能性があると説明しています。

さらに、この脆弱性はroot権限で任意コードを実行するために利用できることから「Critical」に分類されています。

攻撃が成功した場合、脆弱なアプリケーションだけではなく、基盤となるOSまで完全に侵害される可能性があります。

CVSS v3.1の評価は9.6で、ベクトルは次の通りです。

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

この評価では、

とされています。

Dellのアドバイザリでは、具体的にどのようなユーザー操作が必要になるのかまでは説明されていません。

Dellの製品説明によると、Dell System Updateは、Dell Update Packages（DUP）をDell PowerEdgeサーバーへ適用するためのアップデート導入ツールです。

スクリプトによる自動化を前提としたCLIアプリケーションで、BIOS、ファームウェア、ドライバーなどの更新に利用できます。

Dellのシステム管理ガイドでは、LinuxとMicrosoft WindowsのPowerEdgeサーバーを対象としており、RHEL、SLES、Ubuntu、ESXi、Windows Serverなどをサポートしています。

また、DSUではOS内から実行するインバンド更新だけでなく、iDRACを利用したリモートシステムの更新にも対応しています。

サーバーのファームウェアやシステムソフトウェアを更新するための管理ツールであることから、侵害された場合は一般的なユーザーアプリケーションよりも大きな権限を攻撃者に与える可能性があります。

DSA-2026-324では、CVE-2026-86360以外にも4件の脆弱性が修正されています。

CVE	CVSS	脆弱性	Dellが示す影響
CVE-2026-86360	9.6	Path Traversal	未認証・リモート攻撃者によるroot権限での任意コード実行
CVE-2026-86361	8.2	Incorrect Permission Assignment for Critical Resource	低権限のローカルユーザーによる権限昇格
CVE-2026-86362	8.2	Improper Access Control	低権限のローカルユーザーによる権限昇格
CVE-2026-63697	7.6	Improper Certificate Validation	高権限のリモート攻撃者によるコード実行
CVE-2026-71168	7.3	Path Traversal	低権限のローカル攻撃者によるコード実行

CVE-2026-86361とCVE-2026-86362は、すでにローカルアクセス可能な低権限ユーザーが悪用することで、より高い権限を取得できる可能性があります。

CVE-2026-63697は不適切な証明書検証に関する脆弱性で、高権限の攻撃者によるリモートコード実行につながる可能性があります。

CVE-2026-71168もパストラバーサルの脆弱性で、低権限のローカル攻撃者によるコード実行につながる可能性があります。

いずれもDell System Update 2.3.0.0で修正されています。

CVE-2026-86360とCVE-2026-71168は、いずれもパストラバーサルに分類されています。

パストラバーサルは、ファイルパスの検証が不十分な場合に、本来アクセスを許可されていないディレクトリやファイルへアクセスできる脆弱性です。

米CISAとFBIは2024年に公開したSecure by Design Alert「Eliminating Directory Traversal Vulnerabilities in Software」で、パストラバーサルは20年以上前から対策方法が知られているにもかかわらず、現在も攻撃者に悪用され続けている脆弱性クラスだと指摘しています。

CISAとFBIは、パストラバーサルによって、