Dell heeft 34 kwetsbaarheden verholpen in PowerProtect Data Domain, de bijbehorende Virtual Edition en het Management Center, meldt het NCSC in advisory NCSC-2026-0460. PowerProtect Data Domain is Dells bekende lijn backup- en deduplicatie-apparatuur, veel gebruikt door bedrijven en organisaties voor dataopslag en -herstel.
Vier van de kwetsbaarheden in Data Domain zelf hebben de maximale CVSS-score van 9,8: CVE-2026-103780, CVE-2026-86384, CVE-2026-86397 en CVE-2026-86400. Een aanvaller die geen inloggegevens nodig heeft, kan deze volgens het NCSC op afstand misbruiken om willekeurige opdrachten uit te voeren, inloggegevens te bemachtigen of eigen accounts met verhoogde rechten aan te maken. In Management Center zitten nog drie zware fouten: CVE-2026-103799 en CVE-2026-103792 met een score van 9,6, en CVE-2026-90717 met 9,1. Daarmee kan een aanvaller die al over een account met beperkte rechten beschikt, ongeautoriseerd toegang krijgen tot systemen die door Management Center worden beheerd.
De resterende dertig kwetsbaarheden zijn minder ernstig, met scores tussen 6,0 en 8,8, maar vallen in dezelfde categorieën: padtraversal, OS command injection, SQL-injectie, buffer overflows en het ontbreken van autorisatiecontroles. Misbruik ervan kan leiden tot het uitvoeren van willekeurige code, verhoogde rechten, ongeautoriseerde toegang tot gegevens of verstoring van de dienstverlening.
Dell heeft de problemen verholpen in DD OS 8.9.0.0 en in de ondersteunde langetermijnreleases 7.13.1.90 (LTS2024), 8.3.1.50 (LTS2025) en 8.6.1.30 (LTS2026), en in alle latere versies binnen die branches. Het NCSC noemt geen aanwijzingen dat een van de kwetsbaarheden al actief wordt misbruikt. Volledige details staan in Dells eigen advisory DSA-2026-416.
Voor beheerders van Data Domain-omgevingen is dit geen patch om op de lange baan te schuiven. Backup-apparatuur ligt vaak aan het eind van een rechtenketen met toegang tot grote hoeveelheden bedrijfsdata, en de combinatie van ongeauthenticeerde command execution en credential-diefstal maakt juist de vier kritieke fouten een logisch doelwit voor aanvallers die na een eerste inbraak op zoek zijn naar backups om te saboteren of te stelen.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Backup-apparatuur is voor aanvallers een aantrekkelijk doelwit: wie daar toegang krijgt, kan niet alleen gegevens stelen maar ook de laatste reddingslijn bij een ransomware-aanval saboteren. Controleer met voorrang of uw omgeving op een van de vier releases met DD OS hierboven zit.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.