CVE-2026-70416 : Dell ObjectScale RCE CVSS 10, PoC public

Les faits

Le 10 septembre 2026, Dell a publié l'advisory de sécurité DSA-2026-393 révélant CVE-2026-70416, une vulnérabilité de désérialisation de données non fiables (CWE-502 — Deserialization of Untrusted Data) dans Dell ObjectScale. La faille reçoit un score CVSS 3.1 de 10.0, le maximum possible, avec un vecteur indiquant : réseau, complexité faible, aucun privilège requis, aucune interaction utilisateur, scope modifié, et compromission totale de la confidentialité, l'intégrité et la disponibilité. D'après les analyses publiées par CybernExora et SecurityOnline, un PoC (proof-of-concept) d'exploitation public est indexé sur Sploitus, abaissant considérablement la barrière technique à l'exploitation.

Dell ObjectScale est une solution de stockage objet d'entreprise compatible S3 (Amazon Simple Storage Service), conçue pour déployer du stockage scalable à haute densité en environnement on-premises ou hybride. Elle est utilisée par des entreprises pour héberger des archives de données à long terme, des sauvegardes critiques, des données applicatives pour des workloads cloud-natifs (Kubernetes, microservices), du contenu multimédia, et des référentiels de conformité réglementaire. La criticité de CVE-2026-70416 est donc amplifiée par la sensibilité des données typiquement stockées sur ces plateformes.

La désérialisation non sécurisée (CWE-502) est une classe de vulnérabilité bien connue dans l'écosystème Java et dans les frameworks de stockage distribué. Elle survient lorsqu'une application désérialise des données contrôlées par l'attaquant sans valider préalablement leur intégrité ou leur type. Dans le contexte de Dell ObjectScale, un attaquant peut envoyer un objet Java sérialisé malicieusement construit vers un endpoint réseau exposé par ObjectScale, déclencher sa désérialisation côté serveur, et obtenir l'exécution de code arbitraire dans le contexte du processus cible — généralement avec des privilèges système élevés dans un environnement de stockage objet.

D'après l'analyse de Strix AI et Radar OffSeq, le vecteur d'attaque ne requiert aucune authentification préalable et aucune connaissance préalable de la configuration cible. L'attaquant n'a besoin que d'une connectivité réseau vers l'endpoint vulnérable d'ObjectScale pour déclencher l'exploitation. Ce caractère non authentifié, combiné à la disponibilité publique d'un PoC, place CVE-2026-70416 dans la catégorie des vulnérabilités à exploitation imminente et active.

La portée d'un compromis réussi est particulièrement vaste pour une solution de stockage objet d'entreprise. Selon Cybersecurity News, un attaquant obtenant l'exécution de code sur ObjectScale peut : accéder en lecture et écriture à l'intégralité des buckets de stockage et de leurs objets, modifier ou supprimer des configurations critiques, déployer des payloads malveillants persistants dans l'infrastructure de stockage, intercepter ou altérer les flux de données en transit, et établir une persistance dans l'environnement en exploitant les mécanismes d'accès S3 internes. Dans un environnement hébergeant des sauvegardes, cette compromission peut anéantir la capacité de reprise après sinistre d'une organisation.

Dell a publié le correctif dans la version ObjectScale 4.4.0.0. L'advisory DSA-2026-393 a été rendu public le 10 septembre 2026, soit une semaine avant la date de rédaction de cet article. Durant cette fenêtre d'une semaine, tout environnement ObjectScale non patché est potentiellement exposé, d'autant plus que le PoC public facilite une exploitation automatisée à grande échelle. D'après les recherches de Qualys sur le CPU Oracle de septembre (analyse comparative des surfaces cloud), des patterns similaires de scan automatisé ciblant des endpoints de stockage objet ont été observés dans les semaines suivant la publication de vulnérabilités de désérialisation analogues dans des produits concurrents.

Il convient de noter que Dell ObjectScale, en tant que solution de stockage objet compatible S3, peut exposer ses API sur des ports réseau standards (typiquement 443, 80, ou des ports propriétaires selon la configuration). Dans les environnements cloud hybrides ou les déploiements avec accès multi-tenant, la surface d'attaque accessible peut inclure des endpoints routables depuis l'Internet ou depuis des zones réseau partagées.

La désérialisation Java non sécurisée est historiquement associée à des failles majeures dans l'écosystème des middlewares enterprise — WebLogic, Apache Commons Collections, JBoss, et d'autres ont souffert de vulnérabilités similaires avec des scores CVSS critiques. CVE-2026-70416 s'inscrit dans cette lignée et nécessite une réponse aussi rapide que celle apportée à ces précédents incidents de sécurité majeurs.

Impact et exposition

Dell ObjectScale étant une solution de stockage pour données d'entreprise critiques, la compromission via CVE-2026-70416 est potentiellement catastrophique. Un attaquant ayant exécuté du code sur le cluster ObjectScale dispose d'un accès direct à toutes les données stockées, sans restriction de bucket ou de politique d'accès — les mécanismes de contrôle d'accès S3 opèrent au-dessus de la couche de stockage et ne constituent pas une protection si le runtime sous-jacent est compromis.

Pour les organisations utilisant ObjectScale pour héberger leurs sauvegardes, une exploitation réussie compromet directement leur plan de continuité d'activité. Un attaquant malveillant peut chiffrer ou supprimer l'ensemble des objets stockés, transformant CVE-2026-70416 en vecteur de ransomware dévastateur sans qu'aucun agent malveillant n'ait besoin d'être déployé sur les systèmes sources.

L'exposition réseau typique d'ObjectScale varie selon la configuration : certains déploiements exposent leurs endpoints API sur des réseaux internes uniquement, d'autres sur des réseaux hybrides accessibles depuis des partenaires ou des systèmes tiers. Les environnements avec accès multi-tenant ou inter-cloud sont les plus à risque d'exposition à un attaquant externe. Une cartographie précise de l'accessibilité réseau des endpoints ObjectScale est une priorité immédiate.

Recommandations immédiates

• Mettre à jour Dell ObjectScale vers la version 4.4.0.0 ou supérieure — se référer à l'advisory Dell DSA-2026-393 pour les instructions de mise à jour spécifiques à votre déploiement
• En attendant le patch : restreindre impérativement l'accès réseau aux endpoints ObjectScale aux seuls systèmes autorisés via des règles de pare-feu ou des Network Policies Kubernetes ; désactiver tout accès depuis Internet
• Auditer les journaux d'accès ObjectScale des 10 derniers jours pour détecter des requêtes anormales (corps de requêtes inhabituellement volumineux, formats sérialisés inattendus, sources IP non référencées)
• Vérifier l'intégrité des données critiques stockées et s'assurer que les sauvegardes hors-ligne ou air-gapped sont récentes et non affectées
• Indicateurs de compromission potentiels : processus fils inattendus lancés par les processus ObjectScale, connexions réseau sortantes non habituelles depuis le cluster, modifications de fichiers de configuration système