สรุปสั้น
บริษัท Dell เรียกร้องให้ลูกค้าเร่งแพตช์ช่องโหว่ระดับวิกฤต CVE-2026-86360 (CVSS 9.6) ในเครื่องมือ Dell System Update (DSU) ซึ่งทีมไอทีองค์กรใช้ติดตั้งอัปเดต BIOS เฟิร์มแวร์ ไดรเวอร์ และซอฟต์แวร์บนเซิร์ฟเวอร์ PowerEdge ที่รันระบบปฏิบัติการ Linux และ Windows ช่องโหว่เป็นประเภท path traversal ที่ผู้โจมตีจากระยะไกลใช้ได้โดยไม่ต้องยืนยันตัวตน และ Dell ประเมินว่าสามารถต่อยอดไปสู่การรันโค้ดด้วยสิทธิ์ root จนยึดทั้งแอปพลิเคชันและระบบปฏิบัติการได้ทั้งหมด
นอกจากช่องโหว่หลักแล้ว ประกาศ DSA-2026-324 ยังแก้อีก 4 รายการในเวอร์ชันก่อน 2.3.0.0 ได้แก่ช่องโหว่ยกระดับสิทธิ์ในเครื่อง 2 รายการ (CVSS 8.2) ช่องโหว่การตรวจใบรับรองไม่ถูกต้อง (CVSS 7.6) และ path traversal อีกรายการ (CVSS 7.3) Dell แนะนำให้อัปเดต DSU เป็นเวอร์ชัน 2.3.0.0 หรือใหม่กว่าโดยเร็วที่สุด และยังไม่มีรายงานการนำช่องโหว่ไปโจมตีจริง
รายละเอียดข่าว
เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 6 ตุลาคม 2569 ว่า Dell ออกประกาศด้านความปลอดภัย DSA-2026-324 สำหรับ Dell System Update โดยประกาศระบุว่า “Dell System Update เวอร์ชันก่อน 2.3.0.0 มีช่องโหว่ Improper Limitation of a Pathname to a Restricted Directory (‘Path Traversal’) ผู้โจมตีที่ไม่ได้ยืนยันตัวตนและเข้าถึงจากระยะไกลได้อาจใช้ช่องโหว่นี้ ทำให้ผู้โจมตีเข้าถึงระบบไฟล์ได้”
Dell อธิบายเหตุผลที่จัดเป็นระดับวิกฤตว่า “ช่องโหว่นี้ถือว่าร้ายแรงเพราะผู้โจมตีที่ไม่ได้ยืนยันตัวตนสามารถใช้รันโค้ดใดก็ได้ด้วยสิทธิ์ root การโจมตีที่สำเร็จอาจทำให้ทั้งแอปพลิเคชันที่มีช่องโหว่และระบบปฏิบัติการเบื้องหลังถูกยึดโดยสมบูรณ์ Dell แนะนำให้ลูกค้าอัปเกรดโดยเร็วที่สุด” ทั้งนี้ คำอธิบายช่องโหว่ระบุผลลัพธ์ไว้แค่ “การเข้าถึงระบบไฟล์” ส่วนการรันโค้ดสิทธิ์ root เป็นการประเมินผลต่อยอดของ Dell เอง และประกาศไม่ได้ให้รายละเอียดว่าผู้โจมตีเข้าถึง DSU จากระยะไกลผ่านช่องทางใด
DSU เป็นเครื่องมือที่ทำงานด้วยสิทธิ์สูงโดยธรรมชาติ เพราะต้องเขียนเฟิร์มแวร์และติดตั้งแพ็กเกจระดับระบบ ช่องโหว่ในเครื่องมือประเภทนี้จึงแปลงเป็นการยึดเครื่องได้ง่ายกว่าช่องโหว่ในแอปพลิเคชันทั่วไป Security Affairs สรุปว่าช่องโหว่ทั้ง 5 รายการรวมกันสะท้อนว่าเครื่องมือนี้เปิดเส้นทางยกระดับสิทธิ์หรือรันโค้ดได้หลายเส้นทาง
รายละเอียดช่องโหว่
ช่องโหว่ทั้ง 5 รายการที่แก้ใน Dell System Update 2.3.0.0 มีดังนี้
| CVE | CVSS | ประเภท | เงื่อนไขการโจมตี |
|---|---|---|---|
| CVE-2026-86360 | 9.6 | Path traversal | ผู้โจมตีจากระยะไกล ไม่ต้องยืนยันตัวตน → เข้าถึงระบบไฟล์ / รันโค้ดสิทธิ์ root |
| CVE-2026-86361 | 8.2 | สิทธิ์หรือการควบคุมการเข้าถึงไม่ถูกต้อง | ผู้โจมตีในเครื่องที่มีสิทธิ์ต่ำ → ยกระดับสิทธิ์ |
| CVE-2026-86362 | 8.2 | สิทธิ์หรือการควบคุมการเข้าถึงไม่ถูกต้อง | ผู้โจมตีในเครื่องที่มีสิทธิ์ต่ำ → ยกระดับสิทธิ์ |
| CVE-2026-63697 | 7.6 | ตรวจสอบใบรับรองไม่ถูกต้อง | ผู้โจมตีจากระยะไกลที่มีสิทธิ์สูง → รันโค้ด |
| CVE-2026-71168 | 7.3 | Path traversal | ผู้โจมตีในเครื่องที่มีสิทธิ์ต่ำ → รันโค้ด |
ช่องโหว่ที่น่ากังวลรองลงมาคือ CVE-2026-63697 เพราะเครื่องมืออัปเดตเฟิร์มแวร์ต้องพึ่งการตรวจใบรับรองเพื่อยืนยันว่ากำลังดาวน์โหลดแพ็กเกจจากแหล่งที่ถูกต้อง หากการตรวจผิดพลาด ผู้ที่อยู่ในตำแหน่งดักกลางทางหรือควบคุมแหล่งแพ็กเกจได้อาจส่งแพ็กเกจปลอมให้ติดตั้ง แม้ Dell จะประเมินว่าต้องใช้สิทธิ์สูงจึงได้คะแนนต่ำกว่า ส่วน CVE-2026-86361, CVE-2026-86362 และ CVE-2026-71168 เป็นช่องทางที่ผู้ที่มีบัญชีสิทธิ์ต่ำบนเซิร์ฟเวอร์อยู่แล้วใช้ยกระดับเป็นผู้ดูแลระบบ ซึ่งเป็นขั้นตอนสำคัญหลังผู้โจมตีเข้าถึงเครื่องได้ครั้งแรก
ผลกระทบ
กลุ่มที่ได้รับผลกระทบคือองค์กรที่ใช้เซิร์ฟเวอร์ Dell PowerEdge และติดตั้ง DSU ไว้เพื่ออัปเดตเฟิร์มแวร์และไดรเวอร์ ซึ่งมักพบในศูนย์ข้อมูลขององค์กรขนาดกลางถึงใหญ่ เซิร์ฟเวอร์เหล่านี้มักรันระบบสำคัญอย่างฐานข้อมูล ระบบเสมือน หรือระบบไฟล์กลาง การยึดเครื่องด้วยสิทธิ์ root จึงเท่ากับยึดข้อมูลและบริการทั้งหมดที่อยู่บนเครื่องนั้น และยังเปิดโอกาสให้ฝังตัวในระดับเฟิร์มแวร์ได้ในทางทฤษฎี
ปัญหาเชิงปฏิบัติคือเครื่องมืออัปเดตอย่าง DSU มักถูกติดตั้งไว้แล้วลืม เพราะทีมงานมองว่าเป็นเครื่องมือดูแลระบบ ไม่ใช่ซอฟต์แวร์ที่ต้องติดตามแพตช์ ทั้งที่เครื่องมือนี้ทำงานด้วยสิทธิ์สูงสุดบนเครื่อง แม้ยังไม่มีรายงานการโจมตีจริง แต่ช่องโหว่ CVSS 9.6 ที่ไม่ต้องยืนยันตัวตนในซอฟต์แวร์จากผู้ผลิตรายใหญ่มักดึงความสนใจของผู้โจมตีได้เร็ว
คำแนะนำ
- อัปเดต Dell System Update เป็นเวอร์ชัน 2.3.0.0 หรือใหม่กว่าบนเซิร์ฟเวอร์ทุกเครื่องตามประกาศ DSA-2026-324
- สำรวจว่าเซิร์ฟเวอร์ PowerEdge เครื่องใดติดตั้ง DSU ไว้บ้าง รวมถึงเครื่องที่ติดตั้งไว้ตั้งแต่ตอนเตรียมเครื่องแล้วไม่ได้ใช้งานต่อ และพิจารณาถอนการติดตั้งหากไม่จำเป็น
- จำกัดการเข้าถึงเซิร์ฟเวอร์และอินเทอร์เฟซจัดการ (เช่น iDRAC) ให้อยู่ในเครือข่ายจัดการที่แยกออกมา ไม่เปิดสู่เครือข่ายผู้ใช้หรืออินเทอร์เน็ต
- ทบทวนบัญชีสิทธิ์ต่ำบนเซิร์ฟเวอร์ เพื่อลดโอกาสที่ช่องโหว่ยกระดับสิทธิ์ในเครื่องจะถูกใช้ต่อยอด
- เฝ้าระวังโปรเซสลูกที่ผิดปกติจาก DSU และการเปลี่ยนแปลงไฟล์ระบบหรือเฟิร์มแวร์ที่ไม่ได้อยู่ในรอบอัปเดตตามแผน