Dell stopft erneut Sicherheitslücken in seiner Backup-Appliance PowerProtect Data Domain — und diesmal mit besonderer Dringlichkeit. Das Anfang Juli veröffentlichte Sammelupdate, geführt unter der Advisory-Kennung DSA-2026-278, stuft der Hersteller in der Gesamtwirkung als kritisch ein. Zwei der geschlossenen Schwachstellen erreichen mit einem CVSS-Wert von 9,8 beinahe den Maximalwert der Bedrohungsskala. Angreifer können aus der Ferne ansetzen, ohne sich zuvor am System anmelden zu müssen.
Im Zentrum steht die Lücke CVE-2026-53483. Sie geht auf fehlerhafte Authentifizierungsmechanismen im Betriebssystem DD OS zurück, das auf den Data-Domain-Appliances läuft. Gelingt der Angriff, übernimmt der Angreifer die vollständige Kontrolle über das System — und damit über die Sicherungsbestände eines Unternehmens. Eine zweite Schwachstelle aus Dells eigenem Code trägt dieselbe kritische Einstufung. Beide gehören zu einer Gruppe von fünf Lücken, die der Sicherheitsforscher Ahmed Y. Elmogy an Dell gemeldet hat; weitere Meldungen stammen von Forschern des Ubisectech Sirius Teams und unabhängigen Researchern.
Das Sammelupdate behebt darüber hinaus eine lange Reihe weiterer Schwachstellen, sowohl in Dells eigenem Code als auch in mitgelieferten Drittkomponenten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt in seinem Sicherheitshinweis vom 3. Juli vor einem breiten Spektrum möglicher Folgen: Angreifer können Rechte erweitern, beliebigen Programmcode ausführen, Sicherheitsvorkehrungen umgehen, Systeme lahmlegen, Informationen abgreifen oder Dateien manipulieren. Öffentliche Berichte über aktive Ausnutzung liegen bislang nicht vor. Dell stellt abgesicherte DD-OS-Versionen für die gepflegten Versionszweige bereit; welche Build-Stände die Fehler im Einzelnen beheben, listet das Advisory auf. Betroffen sind Installationen quer durch die Versionslinien 7.x und 8.x.
Warum Dell ein besonders kritischer Angriffspunkt ist
Dell's PowerProtect Data Domain ist keine beliebige Unternehmenssoftware. Die Appliances — als Hardware oder als Virtual Edition für Cloud-Umgebungen — bilden bei vielen Konzernen und Mittelständlern das Rückgrat der Datensicherung. Genau das macht die aktuellen Lücken strategisch relevant: Backup-Infrastruktur ist die letzte Verteidigungslinie gegen Ransomware. Professionelle Angreifergruppen gehen seit Jahren nach demselben Muster vor. Bevor sie Produktivsysteme verschlüsseln, suchen sie nach Sicherungen — und zerstören diese. Ein Unternehmen ohne solide Backups verhandelt aus einer Position absoluter Schwäche.
Eine aus der Ferne und ohne Anmeldung ausnutzbare Sicherheitslücke in genau dieser Schicht verschiebt das Risiko deshalb erheblich. Wer die Backups kompromittiert, muss die eigentliche IT-Landschaft noch gar nicht erreicht haben, um ein Unternehmen erpressbar zu machen.
Der vierte Sammelpatch in Serie
Auffällig ist zudem die Frequenz. Erst im April hatte Dell mit dem Advisory DSA-2026-060 mehr als ein Dutzend Schwachstellen in Data Domain geschlossen, über die Angreifer Schadcode mit Root-Rechten ausführen konnten — darunter CVE-2026-26944, bei der die Authentifizierung für kritische Funktionen schlicht fehlte. Auch damals lautete die Empfehlung: umgehend patchen. Davor lagen im Herbst und Winter weitere Sammelupdates mit ähnlichem Zuschnitt. Dell arbeitet die Schwachstellen in einem erkennbaren Quartalsrhythmus ab, gespeist aus einem stetigen Zustrom von Meldungen externer Sicherheitsforscher.
Für Betreiber bedeutet das zweierlei. Positiv: Das Produkt steht unter intensiver Beobachtung, gemeldete Lücken werden koordiniert geschlossen. Negativ: Wer die Sammelupdates nicht konsequent zeitnah einspielt, akkumuliert innerhalb weniger Monate ein erhebliches Schwachstellenportfolio in seiner sensibelsten Infrastruktur.
Was jetzt zu tun ist
Verantwortliche sollten das Update mit hoher Priorität einplanen und die im Advisory genannten Versionsstände gegen den eigenen Bestand abgleichen — einschließlich der Virtual-Edition-Instanzen, die in Inventuren gern übersehen werden. Unabhängig vom Patch gilt für Backup-Appliances eine Grundregel, die dieser Fall erneut unterstreicht: Management-Schnittstellen gehören nicht ins offene Netz und nicht ins allgemeine Unternehmensnetzwerk, sondern in segmentierte, zugriffsbeschränkte Administrationszonen. Wer beides beherzigt — schnelles Patchen und konsequente Abschottung —, reduziert das Zeitfenster, in dem sich aus einer kritischen CVE-Nummer ein realer Vorfall entwickeln kann.
Denn dass sich dieses Fenster schließen lässt, bevor Angreifer es nutzen, ist keine Selbstverständlichkeit. Die Erfahrung mit vergleichbaren Lücken in Backup- und Randsystemen zeigt: Zwischen Veröffentlichung eines Advisories und den ersten Scan-Wellen nach verwundbaren Installationen vergehen oft nur Tage.