Dell System Update 5 个漏洞：CVSS 9.6 路径遍历可致 root 代码执行

导语：Dell 于 2026 年 10 月 1 日紧急修复 Dell System Update（DSU）命令行工具中的 5 个安全漏洞。其中最严重的路径遍历漏洞（CVE-2026-86360，CVSS 9.6）可被未授权远程攻击者利用，以 root 权限在受影响服务器上执行任意代码。CISA 已要求联邦机构在规定期限内完成修补。

一、漏洞概述

Dell System Update（DSU）是 Dell 官方的系统更新工具，用于向 PowerEdge 服务器推送固件和驱动更新。10 月 1 日，Dell 集中修复了 DSU 中的 5 个安全漏洞，涵盖远程代码执行（RCE）和权限提升两类风险。

本次修复的核心漏洞：

其中，CVE-2026-86360 被 Dell 归类为“不当限制路径名到受限目录”（Improper Limitation of a Pathname to a Restricted Directory），也就是典型的路径遍历漏洞。

二、风险分析

2.1 最高危漏洞：CVE-2026-86360

CVE-2026-86360 是本次披露中最危险的漏洞，具体特征如下：

• 攻击前提：攻击者只需具备远程访问能力，无需认证
• 危害结果：可获得文件系统访问权限，进而以 root 身份执行任意代码
• 影响范围：使用 Dell System Update 的 PowerEdge 服务器
• 利用难度：低，路径遍历是常见漏洞类型，利用成熟度较高
• 已知利用状态：目前尚无已知的在野利用报告

2.2 其他高危漏洞

CVE-2026-63697 和 CVE-2026-71168 两个 RCE 漏洞同样值得高度关注。虽然它们的 CVSS 评分略低于 CVE-2026-86360，但远程代码执行类漏洞一旦被利用，攻击者可以直接接管服务器，危害极大。

CVE-2026-86361 和 CVE-2026-86362 属于本地权限提升漏洞，适合已经获得服务器部分访问权限的攻击者进行横向移动。

三、修复方案

3.1 官方补丁

Dell 已发布 DSU 2.3.0.0 版本修复上述所有漏洞，管理员应尽快升级到该版本。

补丁下载地址（Dell 支持官网）：需前往 Dell 技术支持页面，根据服务器型号获取对应版本的 DSU 安装包。

注意：更新 DSU 可能需要重启相关服务，建议在维护窗口内操作，并提前评估对业务连续性的影响。

3.2 临时规避措施

如果暂时无法安装补丁，可以先采取以下措施降低风险：

• 限制 DSU 端口访问：确保只有受信任的管理网段可以访问 DSU 相关端口
• 启用 Dell UEFI 安全启动：防止恶意驱动在系统启动阶段加载
• 监控异常登录行为：重点关注管理接口的异常认证尝试
• 最小化暴露面：如果不需要 DSU 远程管理功能，建议暂时禁用

3.3 CISA 修补令

美国网络安全和基础设施安全局（CISA）已将漏洞列入已知被利用漏洞（KEV）目录，并正式要求联邦民事执行机构（FCEB）在规定期限内完成修补。企业客户也应参照这一标准尽快处理。

四、总结建议

本次 Dell 披露的 DSU 漏洞整体严重程度极高，尤其是 CVSS 9.6 的路径遍历漏洞，在无需任何凭证的情况下即可实现 root 代码执行，对数据中心环境威胁显著。

行动清单：

1. 立即盘点所有运行 DSU 的 PowerEdge 服务器，确认当前版本
2. 尽快升级至 DSU 2.3.0.0 版本
3. 若暂时无法升级，先实施网络层面的访问控制
4. 检查 CISA KEV 目录，确认是否在联邦机构修补范围内
5. 关注 Dell 后续安全公告，防范变种利用

对这类漏洞分析和修复实践感兴趣的读者，也可以在 云栈社区 继续查看相关讨论。