Ne oldu?
Dell, sunucu güncelleme aracı Dell System Update'te beş güvenlik açığı için yama yayımladı. Araç, PowerEdge sunucularda BIOS, donanım yazılımı ve yazılım güncellemelerini dağıtmak için kullanılıyor; hem Linux hem Windows tarafında çalışıyor.
Açıklardan biri kritik olarak derecelendirildi:
- CVE-2026-86360 — dizin aşımı (path traversal). Dell'in ifadesiyle başarılı bir sömürü "savunmasız uygulamanın ve altındaki işletim sisteminin tamamen ele geçirilmesine" yol açabiliyor. Kimlik doğrulaması yapmamış, uzaktan erişimi olan bir saldırgan tarafından sömürülebiliyor ve kök (root) yetkisiyle kod çalıştırmaya izin veriyor.
Aynı duyuruda yüksek öneme sahip dört açık daha yamalandı:
- CVE-2026-63697 ve CVE-2026-71168 — uzaktan kod çalıştırma
- CVE-2026-86361 ve CVE-2026-86362 — yetki yükseltme
Dell, açıkların sahada aktif olarak sömürüldüğüne dair bir işaret bildirmedi. Düzeltme DSU 2.3.0.0 ve sonraki sürümlerde; Dell "müşterilerin en kısa sürede yükseltmesini" öneriyor. Duyuru DSA-2026-324 numaralı güvenlik bülteninde yayımlandı.
Bu açık neden diğerlerinden farklı?
Çünkü açık, güvenliği sağlayan aracın kendisinde.
Bir güncelleme aracının işi tanımı gereği şudur: sunucuya en yüksek yetkiyle bağlanmak, dosya indirmek ve o dosyaları çalıştırmak. Yani normal şartlarda saldırganın elde etmeye çalıştığı her şeye zaten sahiptir.
Bu da üç sonuç doğurur:
- Yetki zaten en üstte. Kök yetkiye yükselmek için ayrı bir adıma gerek kalmaz; araç o yetkiyle çalışıyordur.
- Kapsam geniştir. Güncelleme aracı tek bir sunucuda değil, filonun tamamında kuruludur. Tek bir açık, tek tek sunuculara girmekle ulaşılamayacak bir erişim sağlar.
- Güven varsayılandır. Bu araçların indirdiği ve çalıştırdığı şeyler sorgulanmaz; sorgulanmaması için kurulmuşlardır.
Dizin aşımı açıkları da tam olarak bu noktada işe yarar: aracın yazma yetkisi olan bir yola, olmaması gereken bir dosyayı yazdırmaya izin verirler.
Bu ilk değil
Dell'e özgü bir durum değil, ama Dell ürünlerinde de örneği var.
- CVE-2021-21551 — bir Dell sürücüsündeki açık, devlet destekli Lazarus grubu tarafından kullanıldı.
- CVE-2026-22769 — RecoverPoint for Virtual Machines ürünündeki koda gömülü kimlik bilgisi, en az 2024 ortasından beri bir tehdit grubu tarafından aktif olarak kullanılıyordu; olay Şubat ayında raporlandı.
Aynı gün Dell, Container Storage Modules tarafında azami önemde iki açık daha yamaladı: CVE-2026-63688 ve CVE-2026-63692.
Buradan çıkan sonuç "şu üretici güvensiz" değil. Altyapı yönetim yazılımları, saldırganlar için uzun süredir bilinçli olarak seçilen bir hedef — çünkü yukarıdaki üç özellik hepsinde ortak.
Ne yapmalısınız?
- Bu aracın sizde kurulu olup olmadığını tespit edin. Sunucu yönetim araçları çoğu zaman ilk kurulumda gelir ve kimse kurduğunu hatırlamaz. "Kullanmıyoruz" ile "kurulu değil" aynı şey değildir.
- Kuruluysa DSU 2.3.0.0 veya üzerine yükseltin. Dell'in tavsiyesi beklemeden yükseltmek yönünde.
- Yönetim ve güncelleme araçlarını envanterinize ekleyin. Hangi sunucuda hangi ajan, hangi sürümle çalışıyor — bu listesi olmayan bir kurumda bu tür duyuruların karşılığı yoktur.
- Yönetim arayüzlerini internete kapatın. Bu açık uzaktan erişimi olan saldırganı varsayıyor; yönetim trafiğini ayrı bir ağa almak, yama gecikse bile saldırı yüzeyini daraltır.
- Yama takvimine yönetim yazılımlarını da dahil edin. İşletim sistemi ve uygulama yamaları takip edilirken, güncellemeyi yapan aracın kendisi genellikle listede yoktur.
Asıl mesele
Yama yönetiminde sessiz bir varsayım vardır: güncellemeyi yapan araç güvenlidir.
Bu varsayım hiçbir zaman açıkça kurulmaz, ama her yama döngüsünde yeniden kullanılır. Oysa o araç da bir yazılımdır, kodu da hatalıdır ve üstelik sistemdeki en yüksek yetkiyle çalışır.
Sorulması gereken soru "Dell güvenli mi" değil. Sunucularınızda kök yetkiyle ne çalışıyor, bunu kim biliyor ve o listedeki her şey yamalanıyor mu?
Çoğu kurumda bu listenin kendisi yok. Liste olmadan, bu yazıdaki duyurunun size değip değmediğini bilmenin de yolu yok.