事件概述
戴尔发布安全公告 DSA-2026-324，修复 Dell System Update（DSU）命令行部署工具中的五个漏洞，整体评为严重级。其中最关键的 CVE-2026-86360 属路径遍历缺陷，未认证的远程攻击者可以借此在目标系统上以 root 权限执行任意代码。
受影响版本为 2.3.0.0 之前的全部 DSU 发布。DSU 是运维人员用于向 Linux 与 Windows 上的 PowerEdge 服务器批量下发 BIOS、固件与驱动更新的工具，通常以高权限运行。
技术细节
DSU 需要修改固件与底层系统组件，因此自身必须具备高权限。当该工具的路径处理没有严格限制跳转范围时，攻击者即可借助构造路径把文件写入或覆盖到预期目录之外，从而破坏权限边界。戴尔在公告中的表述是：未认证且具备远程访问条件的攻击者可利用该漏洞获取文件系统访问，进而以 root 权限执行任意代码。
CVE-2026-86360 CVSS 9.6 路径遍历 -> 未认证远程代码执行，root 权限（Dell 评分）
CVE-2026-86361 CVSS 8.2 关键资源权限分配不当 -> 低权限提权
CVE-2026-86362 CVSS 8.2 访问控制不当 -> 本地低权限提权
CVE-2026-63697 CVSS 7.6 证书校验不当 -> 高权限远程代码执行
CVE-2026-71168 CVSS 7.3 路径遍历 -> 本地提权（评分口径以 Dell 公告为准）戴尔未公布漏洞位于 DSU 的哪个子命令，也未发现公开 PoC。需要注意的是，本批漏洞与同期修复的 Container Storage Modules（CSM）漏洞 DSA-2026-448 属不同公告，后者此前已单独发布。
影响评估
DSU 的价值在于批量与自动化，一旦被滥用，攻击面会从单台服务器扩散到整个数据中心。取得 root 后，攻击者可以篡改固件更新链路、植入持久化组件、读取或破坏业务数据，甚至为后续勒索加密做准备。
更值得关注的是这类漏洞的“先例效应”。过去几年曾多次出现戴尔产品组件被大规模利用的情况，包括 2021 年 dbutil 驱动权限控制不足导致内核级后门部署。路径遍历属于 FBI 与 CISA 自 2024 年 5 月起反复要求厂商在产品出厂前清除的漏洞类别，但同类问题仍持续出现。
戴尔尚未将本批漏洞标记为在野利用，但公告措辞明确要求尽快修补。
修复建议
- 将 Dell System Update 升级至 2.3.0.0 或更高版本，该版本修复上述五个漏洞。
- 将 DSU 的调用入口（管理平台、自动化流水线、跳板机）限制在受信任管理网段，禁止直接对公网或办公网开放。
- 对 DSU 的执行做完整性校验：核实安装包与更新清单的签名，监控 dsu 进程派生的 shell 子进程与非预期文件写入。
- 审计服务器上近期被修改的固件相关目录与启动配置，排查异常组件。
- 同步检查 Container Storage Modules 是否已按 DSA-2026-448 完成升级，避免遗留同类高危问题。
- 把固件与带外管理工具的更新纳入标准补丁基线，并设置版本漂移告警。