La Dell Pawer guarda las fallas, hasta las que pertenecen a ella, por largo tiempo, luego de ser corregidas

Dell Power Protect gurda sus fallas corregidas en Data Domain y parte de ellas alcanzan 9.8 de 10 en la escala CVSS

Escrito por Armario Libre Última actualizaciónNov 2, 2026

Santo Domingo.- Dell Power Potect reúne vulnerabilidades críticas en el peor sitio posible: el equipo que guarda las copias de seguridad de una empresa.
El aviso DSA-2026-416 de Dell reúne más de 180 fallas corregidas en Data Domain, y cuatro de las propias de la marca alcanzan 9.8 sobre 10 en la escala CVSS (Common Vulnerability Scoring System, el sistema común de puntuación de vulnerabilidades) sin pedir credenciales a quien ataca.
Security Online contó 48 fallas propias de Dell dentro del aviso y siete con nota de 9.0 o superior.
El resto del paquete toca 29 componentes de terceros que viven dentro de DD OS, el sistema operativo de estos equipos, con nombres conocidos: Apache HTTP Server, OpenSSL, nginx, curl, rsync y paquetes de Python.
Una de esas fallas heredadas arrastra fecha de 2021, la CVE-2021-23337 de la biblioteca Lodash.
Cuatro fallas permiten entrar sin credenciales
• Cuatro fallas permiten entrar sin credenciales
• El centro de gestión arrastra a los demás equipos
• Versiones afectadas y parche de DD OS por rama
La CVE-2026-86400 abre la puerta más ancha.
Dell la describe como una autenticación incorrecta que permite ejecutar comandos arbitrarios con privilegios de root, el nivel máximo de control dentro del sistema.
La propia ficha lo dice sin rodeos: un atacante puede tomar el control completo del equipo, y la recomendación de la empresa es actualizar cuanto antes.
Otra falla gemela, la CVE-2026-86397, deja crear una cuenta con privilegios altos a una persona sin autenticación y con acceso remoto al equipo. Con esa cuenta nueva sobra el resto: el intruso entra por la puerta principal, con usuario propio, y opera el aparato de respaldo como si fuera un administrador más de la casa.
El tercer hueco de 9.8, la CVE-2026-86384, usa una clave criptográfica fija grabada en el producto. Esa clave expuesta deja ver credenciales ajenas, y esas credenciales sirven para entrar al sistema con los permisos de la cuenta comprometida.
La cuarta, la CVE-2026-103780, es un desbordamiento de búfer basado en pila que termina en ejecución de comandos; Dell la sumó al aviso el 19 de octubre, en una revisión que agregó seis fallas propias nuevas.
Data Domain, la línea Dell PowerProtect de respaldo empresarial, no es un servidor cualquiera dentro de una empresa.
Su trabajo es guardar las copias que permiten recuperar sistemas y archivos tras un ataque de ransomware o una avería grave.
Un intruso con control de ese equipo puede borrar copias, alterarlas o dejarlas inservibles justo antes de atacar el resto de la red, y la víctima descubre el daño el día que intenta restaurar.
El centro de gestión arrastra a los demás equipos
PowerProtect Data Domain Management Center, la consola que administra varios aparatos Data Domain desde un solo panel, carga tres fallas serias.
La CVE-2026-103799 marca 9.6 por autorización ausente y la CVE-2026-103792 marca otros 9.6 por inyección SQL, el error que deja colar comandos dentro de las consultas a la base de datos.
Ambas piden solo una cuenta de privilegios bajos y dan acceso a los sistemas gestionados por la consola.
La CVE-2026-90717 completa el trío de vulnerabilidades críticas de la consola con 9.1: suplantación de la autenticación para subir de privilegios, con efecto posible sobre otros equipos Data Domain administrados desde esa misma consola.
Una consola comprometida convierte un problema de un aparato en un problema de todo el parque de respaldo, máquina por máquina.
Bajo ese grupo queda otra capa con cuentas de privilegios bajos: inyección de comandos en el sistema operativo (CVE-2026-86396, 8.8) y recorrido de rutas para alcanzar archivos del sistema (CVE-2026-86398, 8.8).
El patrón se repite en los equipos que sostienen la red, como quedó claro con los routers Netgear vulnerables que recibieron parche oficial esta misma semana: el hardware de infraestructura se actualiza tarde y ataca fácil.
Versiones afectadas y parche de DD OS por rama
Las ramas afectadas cubren casi todo el parque instalado: la línea general de la versión 7.7.1.0 a la 8.8, LTS2024 de la 7.13.1.0 a la 7.13.1.80, LTS2025 de la 8.3.1.0 a la 8.3.1.40 y LTS2026 de la 8.6.1.0 a la 8.6.1.20. El alcance toca los aparatos físicos, la edición virtual y la consola de gestión, tres formatos que comparten el mismo sistema DD OS.
Cada rama tiene su corrección: DD OS 8.9.0.0 para la línea general, 7.13.1.90 para LTS2024, 8.3.1.50 para LTS2025 y 8.6.1.30 para LTS2026. El Centro Nacional de Ciberseguridad de Países Bajos emitió su propio aviso, NCSC-2026-0460, el 30 de octubre, con las mismas versiones corregidas.
Dell advierte un detalle práctico para los equipos de seguridad: algunos escáneres pueden seguir marcando hallazgos falsos positivos tras la actualización, así que la comprobación manda contra la versión instalada, no contra el reporte del escáner.
Dell publicó el aviso el 1 de octubre y lo amplió el 19 con fallas nuevas, prueba de que el inventario de huecos creció después de la primera versión.
Al cierre de la información disponible, Dell no reporta explotación activa de estas fallas y ninguna figura en el catálogo de vulnerabilidades explotadas conocidas de CISA, la agencia de ciberseguridad de Estados Unidos.
Ese margen es el que se pierde si la actualización espera al próximo ciclo de mantenimiento: cuatro puertas de 9.8 sin credenciales, abiertas en el equipo que guarda las copias.
Por Henry Ramírez