Dell

บริษัท Dell เรียกร้องให้ลูกค้าแพตช์ช่องโหว่ CVE-2026-86360 (CVSS 9.6) ในเครื่องมือ Dell System Update (DSU) ที่ใช้ติดตั้ง BIOS เฟิร์มแวร์ และซอฟต์แวร์บนเซิร์ฟเวอร์ PowerEdge ช่องโหว่เป็น path traversal ที่ผู้โจมตีจากระยะไกลใช้ได้โดยไม่ต้องยืนยันตัวตน และ Dell ระบุว่าต่อยอดไปสู่การรันโค้ดด้วยสิทธิ์ root ได้ รอบนี้ Dell แก้ช่องโหว่รวม 5 รายการในเวอร์ชันก่อน 2.3.0.0 รวมถึงการยกระดับสิทธิ์ในเครื่องและการตรวจใบรับรองผิดพลาด ทางแก้คืออัปเดตเป็น 2.3.0.0 ขึ้นไป และยังไม่มีรายงานการโจมตีจริง

บริษัท Dell ออกแพตช์ DSA-2026-448 แก้ 6 ช่องโหว่วิกฤตใน Dell Container Storage Modules (CSM) คะแนน CVSS ระหว่าง 9.6 ถึง 10.0 ช่องโหว่ร้ายแรงสุดเปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนดึงรหัสผ่านแอดมินของสตอเรจทุกตัวที่ลงทะเบียนไว้ บางรายการเกิดจากกุญแจ JWT ที่ฝังตายตัวและเปิดเผยต่อสาธารณะ ทำให้ปลอมโทเคนแอดมินได้ อีกรายการเปิดให้ผู้มีสิทธิ์ต่ำได้ root บนทุกโหนดของคลัสเตอร์ด้วย custom resource เดียว แก้ไขในเวอร์ชัน 1.18.0 โดยไม่มีวิธีแก้ชั่วคราว

บริษัท Dell Technologies ออกประกาศความปลอดภัย DSA-2026-393 แก้ช่องโหว่หลายรายการใน Dell ObjectScale และ Elastic Cloud Storage รายการร้ายแรงสุดคือ CVE-2026-70416 ช่องโหว่ deserialization ข้อมูลที่ไม่น่าเชื่อถือ CVSS เต็ม 10.0 เปิดให้ผู้โจมตีจากระยะไกลรันโค้ดได้โดยไม่ต้องยืนยันตัวตน ผู้โจมตีที่สำเร็จเข้าถึงข้อมูล แก้ไขการตั้งค่า และฝังตัวถาวรในระบบจัดเก็บอ็อบเจ็กต์ระดับองค์กรได้ Dell แนะนำให้อัปเกรดเป็นเวอร์ชัน 4.4.0.0 ขึ้นไปโดยเร็ว

บริษัท Dell เปิดเผยช่องโหว่ระดับวิกฤตสามตัวในแพลตฟอร์ม Secure Connect Gateway 5.0 ซึ่งเป็นระบบที่เชื่อมโครงสร้างพื้นฐานขององค์กรเข้ากับบริการซัพพอร์ตของ Dell ตัวที่รุนแรงที่สุดคือ CVE-2026-80172 คะแนน 9.8 ที่เปิดให้ผู้โจมตีซึ่งดักจับคำร้องได้นำมาเล่นซ้ำเพื่อสร้างโทเคนผู้ดูแลระบบซ้ำ ๆ โดยไม่ต้องมีรหัสผ่าน อีกสองตัวคือการข้ามการตรวจสิทธิ์จนรันคำสั่งจากระยะไกลได้ และ Docker socket ที่เปิดทิ้งไว้จนผู้ใช้สิทธิ์ต่ำยกระดับเป็น root ได้ Dell แนะให้อัปเกรดทันที

บริษัท Lava สำรวจพบอินเทอร์เฟซจัดการเซิร์ฟเวอร์ BMC ที่เปิดโปรโตคอล IPMI สู่อินเทอร์เน็ต 36,872 เครื่อง โดย 24,650 เครื่องปล่อยแฮชที่ได้จากรหัสผ่านออกมาก่อนล็อกอิน ต้นเหตุคือ CVE-2013-4786 ที่ฝังอยู่ในข้อกำหนด IPMI v2.0 เอง ผู้โจมตีที่เข้าถึงพอร์ต UDP 623 ได้จึงนำแฮชไปไล่เดารหัสผ่านแบบออฟไลน์ กว่า 30% ถอดได้ด้วยเวิร์ดลิสต์ทั่วไปหรือรหัสผ่านจากโรงงาน และ Dell ระบุว่าไม่มีแพตช์แก้ไข

Dell ออกอัปเดตแก้ช่องโหว่ร้ายแรงหลายรายการใน PowerProtect Data Domain ที่เปิดให้ผู้โจมตีไร้ตัวตนจากระยะไกลเข้าควบคุมระบบทั้งเครื่องได้ ช่องโหว่ที่ร้ายแรงที่สุดคือ CVE-2026-53483 (ยืนยันตัวตนไม่รัดกุม) และ CVE-2026-53481 (path traversal) ทั้งคู่คะแนน CVSS 9.8 กระทบ Data Domain appliance, Virtual Edition และ APEX Protection Storage เนื่องจากเป็นระบบสำรองข้อมูล การถูกยึดอาจนำไปสู่การลบสำรองก่อนปล่อยแรนซัมแวร์

Dell ออกประกาศความปลอดภัยแก้ไขช่องโหว่หลายรายการใน Wyse Management Suite (WMS) แพลตฟอร์มจัดการ thin client และอุปกรณ์ปลายทางที่ใช้กันแพร่หลาย ช่องโหว่ที่ร้ายแรงที่สุดคือ CVE-2026-41120 คะแนน CVSS 9.8 เปิดทางให้ผู้โจมตีสิทธิ์ต่ำจากระยะไกลรันโค้ดได้โดยไม่ต้องโต้ตอบจากผู้ใช้ อีกตัวคือ CVE-2026-49506 คะแนน 7.2 เป็นช่องโหว่ path traversal ทั้งคู่กระทบ WMS เวอร์ชันก่อน 5.5 HF1 Dell ออกแพตช์แล้วและแนะนำให้อัปเกรดทันที

กลุ่มแฮ็กเกอร์จีน UNC6201 ใช้ช่องโหว่ CVE-2026-22769 (CVSS 10.0) ใน Dell RecoverPoint for Virtual Machines ที่มี hardcoded password ของ Apache Tomcat เข้าถึงระบบด้วยสิทธิ์ root มาตั้งแต่กลางปี 2024 โดยไม่มีใครตรวจพบ ผู้โจมตีใช้มัลแวร์ Brickstorm และเวอร์ชันใหม่ Grimbolt ที่ตรวจจับยากขึ้น Dell ออกแพตช์แล้วและ CISA สั่งให้หน่วยงานรัฐบาลแก้ไขภายใน 3 วัน