Center for Internet Security(CIS)は2026年10月11日、Dell System Update(DSU)の複数の脆弱性を公表しました。対象は2.3.0.0未満で、認証なしの遠隔攻撃により、攻撃者が任意のコードを実行できる恐れがあります。情シスは、DSUの導入状況と版を確認する必要があります。
対象は更新用ツールの2.3.0.0未満
DSUはDellの無料Windows用ツールです。CISによると、BIOSやドライバなどの更新を自動で検出し、取得・適用します。今回は、更新を担うツール自体が点検の対象です。
CISの勧告番号は2026-111です。影響対象として挙げているのは、Dell System Updateの2.3.0.0未満です。Dell製機器を使っているという理由だけで対象と判断せず、DSUが入っているか、入っている場合はどの版かを分けて確認してください。
CISは、大規模・中規模企業のリスクをHIGH、小規模企業のリスクをMEDIUMと評価しています。小規模企業も対象から外れているわけではありません。一方、公表時点では、実環境での悪用報告はないとしています。
日本での提供は発表には書かれていません。日本での提供状況と、自社でDSUを導入しているかどうかは、別の確認事項として扱ってください。
遠隔攻撃と、端末内からの権限昇格の恐れ
CVEは、脆弱性を識別するための番号です。今回の勧告には、攻撃に必要な権限や条件が異なる複数の問題が含まれています。
CVE-2026-86360について、CISは認証不要の遠隔攻撃でファイルシステムにアクセスされる恐れがあるとしています。さらに、root権限で任意のコードを実行される恐れを挙げています。最も深刻な脆弱性が悪用された場合、アプリとOSが完全に侵害される可能性があるとの説明です。
CVE-2026-63697は、証明書検証の不備です。CISによると、高権限の遠隔攻撃者によるコード実行の恐れがあります。認証不要とされる問題とは、攻撃の条件を分けて捉える必要があります。
CVE-2026-71168は、ファイルの場所を扱う際の不備であるパストラバーサルの脆弱性です。低権限のローカル攻撃者が悪用する恐れがあります。また、CVE-2026-86361は権限設定、CVE-2026-86362はアクセス制御の不備です。いずれも、低権限のローカル攻撃者が、より強い権限を得る恐れがあります。
影響する会社・しない会社
- 影響する: Dell System Updateの2.3.0.0未満を導入している会社です。まず、導入先と版を確認する対象になります。
- 影響する: 対象版を利用する小規模企業も含まれます。CISのリスク評価がMEDIUMでも、影響対象である点は変わりません。
- 影響しない: DSUを導入していない会社は、今回示された製品・版の影響対象には該当しません。
- 影響しない: DSUの2.3.0.0以上は、今回の勧告で示された影響対象には含まれていません。ただし、これを製品全体の安全性の保証と捉えないでください。
情シスが今日やること
- 今日、導入先を洗い出します。 利用中の資産管理画面にソフトウェア一覧がある場合は、Dell System Updateの登録を探します。ない場合は、端末管理担当者や運用委託先に導入先一覧を依頼してください。資料には、確認用の管理画面名やメニューは書かれていません。
- 導入先ごとに版を記録します。 資産台帳や導入済みソフトウェアの情報を確認し、「2.3.0.0未満」「2.3.0.0以上」「未確認」に分けます。未確認のものを、対象外として扱わないことが重要です。
- 対象版と未確認の一覧を管理担当者に渡します。 勧告番号2026-111と、認証不要の遠隔攻撃によるコード実行の恐れを添えて、更新方法と作業時期の確認を依頼します。資料には修正版の提供状況や更新手順がないため、版の境界だけを根拠に手順を決めないでください。
- 次のDSU利用前に、対応方針を共有します。 更新作業を行う担当者と、対象機器を管理する部署に、確認済みの版、更新予定、未確認事項を知らせます。更新後は版を再確認し、台帳に結果を残してください。この確認時期は本記事の提案で、CISが示した期限ではありません。
