Dell System Update CVE-2026-86360: Root-Rechte über das Patch-Tool

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und automatisiert veröffentlicht.

Ausgerechnet das Werkzeug, mit dem Server gepatcht werden, braucht selbst einen Patch: Dell System Update (DSU) enthält laut Dells Advisory DSA-2026-324 fünf Schwachstellen. Die schwerste, CVE-2026-86360, ist mit CVSS 9.6 als kritisch bewertet und kann zu Codeausführung mit Root-Rechten führen. Abhilfe schafft nur die Version 2.3.0.0 oder neuer.

Was Dell an Dell System Update gepatcht hat

DSU ist das Kommandozeilen-Werkzeug, mit dem Admins BIOS-, Firmware- und Software-Updates auf PowerEdge-Servern unter Linux und Windows ausrollen. Betroffen sind laut Dell alle Versionen vor 2.3.0.0. Die fünf CVEs im Überblick, direkt aus dem Hersteller-Advisory:

• CVE-2026-86360 – Path Traversal, CVSS 9.6, kritisch. Dell nennt als Folge Dateisystem-Zugriff und Codeausführung mit Root-Rechten.
• CVE-2026-86361 und CVE-2026-86362 – jeweils CVSS 8.2: falsch gesetzte Berechtigungen bzw. fehlerhafte Zugriffskontrolle, lokal ausnutzbar, Ergebnis ist eine Rechteausweitung.
• CVE-2026-63697 – CVSS 7.6, mangelhafte Zertifikatsprüfung. Setzt einen Angreifer mit hohen Rechten und laut Vektor eine hohe Angriffskomplexität voraus.
• CVE-2026-71168 – CVSS 7.3, zweites Path-Traversal-Problem, laut Dell-Vektor mit lokalem Zugriff.

Gemeldet wurden die Lücken von externen Forschern. Dell bedankt sich im Advisory bei Ori Gabriel, saltedfish und Nir Yehoshua (Cipher Security Labs). Hinweise auf aktive Ausnutzung gibt es bislang nicht, im KEV-Katalog der US-Behörde CISA steht keines der fünf CVEs. Erstveröffentlichung des Advisories war der 1. Oktober 2026, in den Fachmedien kam die Meldung am 5. Oktober an.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Der interessanteste Fund steht nicht im Advisory

Die Fassung 2.3.0.0 liegt auf Dells Download-Seite (Treiber-ID J9TK1) nicht erst seit dem Advisory bereit, sondern seit dem 28. Juli 2026 – eingestuft als „Importance: Optional“, im Changelog nur mit der Zeile „Security fixes“. Zwischen Verfügbarkeit und Sicherheitsmeldung lagen also mehr als zwei Monate. Daraus folgen zwei Dinge: Wer im Juli-Zyklus mitgezogen hat, ist bereits versorgt. Und wer Dell-Updates nach dem Feld „Importance“ priorisiert – was in vielen Wartungsplänen der Normalfall ist –, hat den Fix für eine CVSS-9.6-Lücke zwei Monate liegen gelassen, ohne es wissen zu können.

Der Blick in den CVSS-Vektor lohnt sich

Mehrere Berichte verkürzen CVE-2026-86360 auf „unauthentifizierter Angreifer aus dem Netz“. Das ist nicht falsch, aber unvollständig. Dell gibt den Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H an – und UI:R heißt: es braucht eine Benutzeraktion. Das gilt übrigens für alle fünf Lücken, auch die beiden lokalen Rechteausweitungen. Welche Aktion Dell konkret meint, steht nicht im Advisory; im DSU-Umfeld wäre eine manipulierte oder untergeschobene Katalog-Quelle die plausibelste Variante, belegt ist das aber nicht. Das S:C (Scope changed) erklärt, warum die Bewertung trotzdem so hoch ausfällt: der Schaden bleibt nicht in der Anwendung, sondern reicht ins Betriebssystem.

Eine zweite Unschärfe: In der Berichterstattung tauchen CVE-2026-63697 und CVE-2026-71168 gemeinsam als „remote ausnutzbar“ auf. Das liegt an einer Inkonsistenz im Advisory selbst – Dell schreibt für CVE-2026-71168 als Folge „Remote execution“, der zugehörige Vektor lautet aber AV:L, also lokaler Zugriff. Im Zweifel zählt der Vektor. Zum Zeitpunkt dieses Beitrags waren alle fünf CVEs weder in der NVD noch in der CVE-Liste von MITRE erfasst: Wer automatisiert gegen diese Datenbanken scannt, sieht die Lücken noch nicht.

Was das für dich bedeutet

Aus CISO-Sicht ist das der unangenehmste Fall von Patch-Management: Die Lücke sitzt in der Patch-Kette selbst. DSU läuft typischerweise mit maximalen Rechten, oft automatisiert, oft auf vielen Hosts gleichzeitig – genau das Profil, das Angreifer suchen. Wer DSU in Skripten oder auf einem Deployment-Server verankert hat, betreibt eine Komponente mit Root-Rechten im Rechenzentrum. Die Frage ist, ob sie im Software-Inventar überhaupt auftaucht: Update-Werkzeuge gelten gefühlt als Infrastruktur, nicht als Software mit Versionsstand.

Die Panik-Variante ist trotzdem unangebracht: kein Hinweis auf Angriffe, Benutzerinteraktion nötig, kein KEV-Eintrag. Realistisch ist das ein Patch für das nächste geplante Wartungsfenster – aber einer, der nicht liegen bleiben darf, weil DSU sonst zur bequemen Abkürzung in die gesamte Server-Flotte wird. Praktisch nahe dran liegt der Fall der Dell-CSM-Lücken mit CVSS 10.0, die Dell am selben Tag veröffentlicht hat.

Konkrete Schritte für Admins

• Versionsstand erheben, nicht schätzen. dsu --version auf den Hosts beziehungsweise auf dem Deployment-Server abfragen und alles unter 2.3.0.0 auf die Patch-Liste nehmen.
• Nicht nach „Importance“ priorisieren. Dieser Fix stand zwei Monate als „Optional“ im Katalog. Wer Sicherheitsrelevanz von Dell-Updates beurteilen will, muss die Security-Advisories (DSA-Nummern) verfolgen, nicht die Einstufung auf der Download-Seite.
• Update-Quelle härten. Unabhängig vom konkreten Angriffsweg gilt: ausschließlich Dells offizielle Repositories oder ein intern gespiegelter, schreibgeschützter Katalog – keine Ad-hoc-Pfade aus Skripten oder Netzlaufwerke, auf die halbe Teams schreiben dürfen.
• Rechte eingrenzen. DSU-Läufe nicht dauerhaft mit einem Domänen-Konto betreiben, sondern mit einem lokalen, auf den Host begrenzten Dienstkonto.
• Werkzeuge inventarisieren. Tauchte DSU in keiner Software-Inventur auf, fehlen dort vermutlich auch andere Admin-Tools – Deployment-, Backup- und Monitoring-Agenten im selben Wartungsfenster mitprüfen.

Quellen

• Dell: DSA-2026-324 – Security update for Dell System Update (DSU) Vulnerabilities
• Dell: Download-Datensatz DSU 2.3.0.0 (Treiber-ID J9TK1, Release 28. Juli 2026)
• BleepingComputer: New Dell System Update flaw lets hackers gain root privileges (5. Oktober 2026)
• WindowsForum: Dell DSU CVE-2026-86360 – Patch PowerEdge Servers (5. Oktober 2026)