Dell insta a parchear fallos críticos en CSM que permiten control total del almacenamiento

Dell ha corregido dos vulnerabilidades de severidad máxima en los Container Storage Modules (CSM), el componente que conecta los sistemas de almacenamiento empresarial de Dell con entornos Kubernetes. CSM brinda soporte a las principales plataformas de almacenamiento de la compañía (PowerStore, PowerScale, PowerFlex, PowerMax y Unity XT) y amplía las capacidades de los controladores estándar Container Storage Interface (CSI) para Kubernetes.

En un aviso de seguridad publicado el jueves, Dell señaló que ambos fallos críticos se encuentran en el módulo de seguridad Dell CSM Authorization y se originan en debilidades de «autenticación faltante para funciones críticas».

El primero, identificado como CVE-2026-63688, permite a atacantes remotos no autenticados acceder a las credenciales de administrador del backend de almacenamiento de todas las matrices registradas y eludir la autorización para obtener control administrativo total sobre la infraestructura de almacenamiento. La explotación exitosa del segundo fallo (CVE-2026-63692), presente en el proxy de autorización y el servicio de inquilinos, también permite a los actores de amenazas obtener privilegios de administrador al eludir los controles de autenticación.

«Esta vulnerabilidad se considera crítica porque permite a un atacante no autenticado obtener control administrativo completo sobre el servicio de autorización, lo que podría permitir acceso y manipulación no autorizados de los recursos de almacenamiento en todos los inquilinos», advirtió Dell.

Ese mismo día, la compañía también parcheó otras cuatro cuestiones de seguridad críticas en Dell CSM que los atacantes remotos pueden explotar sin privilegios para obtener root en los nodos del clúster (CVE-2026-67269), conseguir acceso administrativo al proxy de CSM Authorization (CVE-2026-54472), falsificar tokens de autenticación para obtener privilegios administrativos (CVE-2026-61421) y eludir los controles de acceso de Kubernetes para obtener lectura de Secrets de Kubernetes en todo el clúster (CVE-2026-67273).

«Dell recomienda a los clientes actualizar lo antes posible», añadió la empresa, que aconseja actualizar los módulos de almacenamiento en contenedores a la versión 1.18.0 o posterior, que corrige estos fallos.

Vulnerabilidades de Dell explotadas en el mundo real

Aunque Dell aún no ha señalado que estos problemas de seguridad estén siendo explotados activamente, en los últimos años hackers patrocinados por Estados han abusado de otras vulnerabilidades de Dell en sus ataques.

Por ejemplo, el grupo norcoreano Lazarus desplegó un rootkit de Windows en los sistemas de sus víctimas aprovechando una vulnerabilidad de control de acceso insuficiente (CVE-2021-21551) en el controlador dbutil de Dell.

Más recientemente, en febrero, Mandiant y el Google Threat Intelligence Group (GTIG) revelaron que un presunto grupo de hackers respaldado por el Estado chino (UNC6201) había estado explotando una vulnerabilidad de credenciales codificadas de severidad máxima (CVE-2026-22769) en Dell RecoverPoint for Virtual Machines desde al menos mediados de 2024 para desplegar cargas maliciosas y crear interfaces de red ocultas en servidores VMware ESXi.

Los investigadores de seguridad también encontraron coincidencias entre UNC6201 y el grupo chino de ciberespionaje Silk Typhoon, conocido por atacar agencias gubernamentales con malware personalizado Spawnant y Zipline en ataques de día cero contra Ivanti.

Días después, la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) ordenó a las agencias gubernamentales parchear los sistemas Dell vulnerables en sus redes en un plazo de tres días.

Construya su plan de seguridad para ataques impulsados por IA

Únase a Mikko Hyppönen y a líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre qué cambian los ataques a la velocidad de la IA, qué deberían dejar de hacer los defensores y cómo validar, decidir, corregir y revalidar a velocidad de máquina.