"Dell Sunucu Yöneticilerine Bir Uyarı Daha: DSU Aracında Kimlik Doğrulamasız Root Erişimine Açan Path Traversal" Geçen günlerde Cybersecurity News'te yayımlanan bir habere göre, Dell, kurumsal BT yöneticilerinin PowerEdge sunucularına BIOS, firmware ve yazılım güncellemeleri dağıtmak için kullandığı Dell System Update (DSU) aracında beş güvenlik açığı için acil yama yayımladı; bunlardan en ciddisi kimliği doğrulanmamış uzaktaki bir saldırgana root yetkisiyle kod çalıştırma imkânı tanıyor. Açığın özü şu: "CVE-2026-86360" olarak takip edilen ve CVSS 9.6 puan alan en kritik açık, bir path traversal (dizin aşımı) zafiyeti; yani araç, dosya erişimini amaçlanan dizinle sınırlı tutamıyor. Uzaktan erişimi olan bir saldırgan, hedef sisteme önce giriş yapmadan bu zafiyeti istismar edebiliyor. Başarılı bir istismar, saldırgana dosya sistemine erişim ve potansiyel olarak root yetkisiyle keyfi kod çalıştırma imkânı sağlıyor; bu da hem DSU uygulamasının hem de altındaki işletim sisteminin tamamen ele geçirilmesi anlamına geliyor. Açığı DSA-2026-324 danışma bildirimiyle 1 Ekim 2026'da yayımlayan Dell, bu kritik açığı ve ayrı bir sertifika doğrulama sorununu bildiren araştırmacı Ori Gabriel'e teşekkür etti. Aynı güncellemede dört açık daha giderildi: "CVE-2026-86361" (CVSS 8.2) ve "CVE-2026-86362" (CVSS 8.2) hatalı izin ataması ve erişim kontrolü sorunlarından kaynaklanıyor ve düşük yetkili yerel bir saldırganın ayrıcalık yükseltmesine imkân tanıyor; "CVE-2026-71168" (CVSS 7.3) ise yine düşük yetkili yerel bir saldırganın uzaktan kod yürütmesine yol açabilen ikinci bir path traversal açığı. Tüm bunların sonucunda bu açıklardan yararlanan bir saldırgan: Kimlik doğrulaması olmadan, yalnızca uzaktan ağ erişimiyle DSU servisine yönelik dizin aşımı dizileri (örneğin "../", ".." veya URL kodlanmış "%2e%2e%2f" varyantları) içeren bir istek göndererek dosya sistemi üzerinde kontrol elde edebilir Hem Windows hem de Linux dağıtımlarını, hem de Azure Stack HCI ve ESXi ortamlarını çalıştıran 2.3.0.0 öncesi tüm DSU CLI sürümlerini hedef alabilir Root yetkisiyle kod çalıştırarak DSU uygulamasını ve altındaki işletim sistemini tamamen ele geçirebilir, çünkü araç ayrıcalıklı şekilde çalıştığından dizinlerinin dışına taşan bir path traversal doğrudan root düzeyinde yürütmeye kapı açıyor Güncellemeden başka hiçbir geçici çözüm bulunmadığından sistemi yama uygulanana kadar bu riske açık bırakabilir Yazının yayımlandığı tarih itibarıyla CVE-2026-86360'ın vahşi ortamda aktif olarak istismar edildiğine dair doğrulanmış bir rapor bulunmuyor ve açık, bilinen herhangi bir devlet destekli tehdit grubuyla ilişkilendirilmedi. Buna rağmen CISA ve FBI'ın, bu tür path traversal zafiyetlerini "bağışlanamaz" olarak nitelendirip yazılım şirketlerini ürünlerini piyasaya sürmeden önce bu sınıf hatalardan arındırmaya çağırdığı göz önüne alındığında ciddiyetini koruyor. Güvenlik ekiplerinin, DSU servisine yönelik isteklerde URL yollarında, sorgu parametrelerinde veya POST gövdesinde dizin aşımı dizilerini aramasını; DSU sürecinden kaynaklanan ve "/etc", "/root", "C:\Windows\System32" veya "C:\Program Files" gibi hassas sistem dizinlerini hedef alan anormal dosya okuma/yazma işlemlerini izlemesini öneriyoruz. Kesin çözüm ise DSU'yu 2.3.0.0 veya sonraki bir sürüme yükseltmek; bu arada ağ erişimini ana bilgisayar düzeyindeki güvenlik duvarlarıyla güvenilmeyen kaynaklardan kısıtlamak geçici bir önlem olarak işe yarayabilir. Kaynak: https://cybersecuritynews.com/dell-system-update-tool-vulnerability/ Siz bu açık veya CVE-2026-86360 hakkında ne düşünüyorsunuz? Az önce konuştuğumuz Dell CSM açıklarının hemen ardından gelen bu DSU zafiyeti, Dell'in yönetim ve güncelleme araçlarının son dönemde arka arkaya saldırı yüzeyi hâline gelmesinin tesadüf olmadığını mı gösteriyor?