Dell Data Domain: exécution de code root à distance (CVE-2026-86400)
Faille critique PowerProtect Data Domain: exécution de commandes root par un attaquant distant sans identifiants. Correctif disponible, DSA-2026-416.
Qui est touché
- Dell PowerProtect Data Domain, versions Feature Release 7.7.1.0 à 8.8
- Versions LTS2024 7.13.1.0 à 7.13.1.80, LTS2025 8.3.1.0 à 8.3.1.40, LTS2026 8.6.1.0 à 8.6.1.20
- Baies de sauvegarde Data Domain exploitées par des groupes hôteliers, des MSSP ou un prestataire d'hébergement pour les archives PMS, réservations et finances
Comment corriger
Appliquer la version corrigée de DDOS indiquée dans le bulletin Dell DSA-2026-416 pour la branche déployée, sans attendre la fenêtre de maintenance trimestrielle. Cloisonner fermement l'interface de gestion (console web, SSH) dans un segment dédié derrière firewall, sans exposition directe ni détournée d'Internet. Passer en revue les journaux d'authentification et d'exécution de commandes de l'équipement depuis le 28 octobre 2026. Faire confirmer par écrit le correctif par chaque hébergeur ou prestataire managé qui opère une baie Data Domain pour le compte de l'hôtel.
Ce qui s'est passé
La fiche CVE-2026-86400 a été publiée le 28 octobre 2026 dans le bulletin Dell DSA-2026-416, qui corrige une série de failles sur Dell PowerProtect Data Domain, la plateforme de sauvegarde sur disque de l'éditeur. Des sept failles de niveau critique du bulletin, quatre sont exploitables sans aucun identifiant, dont CVE-2026-86400: une authentication insuffisante qui permet à un attaquant distant non authentifié d'exécuter des commandes arbitraires avec les privilèges root, donc la main complète sur l'équipement. Dell qualifie la faille de critique et note 9,8 sur l'échelle CVSS 3.1; le NVD, qui a publié la fiche le 28 octobre, n'avait pas encore publié sa propre analyse au moment de cette fiche. Aucun début d'exploitation dans le monde sauvage n'est signalé à ce jour, et la faille ne figure pas au catalogue KEV de la CISA.
Pourquoi c'est grave pour un hôtel
Les baies Data Domain forment souvent le dernier rempart des groupes hôteliers et des établissements qui externalisent leur sauvegarde: archives du PMS (logiciel de gestion hôtelière), bases de réservations, comptabilité, sauvegardes confiées à un MSSP. Prendre le contrôle root d'un équipement de sauvegarde supprime ce dernier rempart et offre un poste d'observation sur toute l'architecture sauvegardée, y compris les identifiants des systèmes sources. L'interface de gestion de ces baies vit fréquemment sur un réseau d'exploitation jugé sûr mais rarement cloisonné, ce qui élargit la surface atteignable depuis un poste compromis ou depuis Internet en cas d'exposition accidentelle.
Qui est touché
- PowerProtect Data Domain Feature Release versions 7.7.1.0 à 8.8.
- Versions LTS2024 7.13.1.0 à 7.13.1.80, LTS2025 8.3.1.0 à 8.3.1.40, LTS2026 8.6.1.0 à 8.6.1.20.
- Toute organisation, hôtel ou prestataire, dont le périmètre inclut un équipement Data Domain dans ces fourchettes, y compris en location managée: la responsabilité du correctif revient au contrat, pas à l'évidence.
Comment corriger
- Consulter le bulletin Dell DSA-2026-416 et déployer la version DDOS corrigée correspondant à la branche installée.
- Vérifier que la console web et le SSH de la baie ne sont atteignables que depuis un segment de management dédié, jamais depuis les réseaux clients ou une passerelle d'hébergement large.
- Examiner les journaux d'authentification et de commandes depuis le 28 octobre 2026; toute connexion inhabituelle déclenche une investigation.
- Demander à l'hébergeur ou au MSSP une confirmation écrite de la mise à jour, avec numéro de version installée.
- Profiter de l'opération pour tester une restauration réelle depuis la baie: un équipement de sauvegarde qu'on n'a jamais testé n'est pas une assurance.
Contexte
DSA-2026-416 corrige sept failles critiques, dix-huit de niveau élevé et vingt-trois de niveau moyen ou faible sur la gamme Data Domain, signe d'une refonte d'urgence de la surface d'attaque de la plateforme. La CISA ajoutait le 28 octobre des failles VMware ESXi et noyau Linux à son catalogue KEV, un rappel que les couches de virtualisation et de sauvegarde restent la cible prioritaire des opérateurs de rançongiciels. Le bulletin Dell complet reste accessible sur le site de support de l'éditeur (référence 000515178).