Bulletins de Sécurité

Deux vulnérabilités critiques ont été publiées par Dell le 7 juillet 2026 dans l'advisory DSA-2026-278, affectant les appliances PowerProtect Data Domain (DD OS).

Le niveau de criticité de ces deux vulnérabilités est de 9.8 (score CVSSv3.1).

• CVE-2026-53481 : une vulnérabilité de limitation insuffisante des chemins d'accès (path traversal) permet à un attaquant distant non authentifié d'accéder de manière non autorisée au système.

• CVE-2026-53483 : une vulnérabilité d'authentification défaillante permet, dans les mêmes conditions, d'obtenir un accès non autorisé au système.

Dans les deux cas, Dell qualifie l'impact de prise de contrôle complète du système.

Data Domain est une appliance de sauvegarde et de déduplication, point de convergence de l'ensemble des sauvegardes de l'organisation (bases de données, VMs, fichiers). Dans le déroulé classique d'une attaque ransomware, les groupes ciblent systématiquement l'infrastructure de sauvegarde en fin de kill chain, précisément pour empêcher toute restauration et maximiser la pression au paiement. Une prise de contrôle complète d'une appliance Data Domain via l'une de ces deux CVE donnerait à un attaquant la capacité de supprimer ou chiffrer les sauvegardes elles mêmes, avec un risque de contournement de la protection Retention Lock (WORM) si elle est activée, puisque l'accès obtenu est un accès système complet et non un accès applicatif classique.

À l'heure actuelle, Dell ne fait mention d'aucune exploitation active de ces deux vulnérabilités, et elles ne figurent pas dans le catalogue CISA KEV.

Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour toute appliance concernée, exposée sur internet ou non, du fait de sa criticité en tant que composant d'infrastructure de sauvegarde.