Una cadena de ataques recientemente detallada muestra cómo múltiples fallas lógicas enSuite de administración Dell WyseEl entorno local se puede combinar para lograr un compromiso total del servidor. Los investigadores dicen que un atacante puede comenzar con un acceso muy limitado, escalar privilegios y luego llegar a la ejecución remota de código en el servidor de administración. Dell ya solucionó los problemas en Wyse Management Suite 5.5.
Los dos errores principales en el centro de la cadena son CVE-2026-22765 y CVE-2026-22766.Dell describe el primero como una falla de autorización faltanteeso puede permitir que un atacante remoto con pocos privilegios obtenga derechos elevados, mientras que el segundo es un fallo de carga sin restricciones que puede permitir que un atacante remoto con altos privilegios logre la ejecución remota. Dell califica CVE-2026-22765 en 8.8 y CVE-2026-22766 en 7.2, y dice que ambos afectan las versiones de WMS anteriores a 5.5.
Lo que hace que la investigación sea notable es la forma en que se pueden encadenar los problemas. Positive Technologies dijo que el camino completo puede terminar en la ejecución remota de código no autenticado, no solo en una escalada de privilegios, porque las fallas se conectan entre el registro del dispositivo, la importación de usuarios, la asignación de roles de administrador, la lógica de restablecimiento de contraseña y el comportamiento de carga de archivos.
Dell diceTanto la edición Standard gratuita como la edición Pro de pago se ven afectadas en las implementaciones locales si ejecutan una versión anterior a 5.5. La solución se envió el 23 de febrero de 2026 y el aviso de Dell se publicó por primera vez el 24 de febrero de 2026, con una actualización posterior el 20 de marzo que no cambió el contenido técnico.
Cómo comienza el ataque
Según Tecnologías Positivas, el ataque puede comenzar durante el registro del dispositivo. En la configuración predeterminada del producto local, supuestamente se puede registrar un dispositivo no autorizado con un token de grupo vacío. Eso todavía devuelve un identificador de dispositivo y un código de autenticación, lo que le da al atacante un punto de apoyo para interactuar con la API WMS incluso aunque el dispositivo aterrice en un grupo de cuarentena.
Desde allí, los investigadores dicen que el atacante puede llegar a rutas de importación de Active Directory que no deberían haber sido expuestas de esta manera. Al llamar a importADUserGroups y addRoleToADGroup, el atacante puede crear un nuevo grupo de funciones respaldado por AD y luego asignarle la función de administrador. Una llamada final a importADUsers puede luego crear una nueva cuenta de administrador vinculada a ese grupo de funciones.
Por qué la barrera de inicio de sesión no detiene la cadena
Crear una nueva cuenta de administrador no es suficiente por sí solo porque la cuenta importada obtiene una contraseña generada automáticamente que no se muestra al atacante. Positive Technologies dice que encontró dos formas de sortear esa barrera.
La primera ruta utiliza el flujo de restablecimiento de contraseña.Los investigadores dicenWMS bloquea el restablecimiento de contraseñas para usuarios de AD importados, pero esa verificación puede fallar si el atacante importa el administrador con un UPN de AD vacío. En ese caso, la plataforma puede tratar la cuenta como elegible para restablecer la contraseña, permitiendo que la nueva contraseña se envíe a una dirección de correo electrónico externa controlada por el atacante. Positive Technologies dice que este método depende de que se configure SMTP y de que se permita el correo electrónico saliente a destinatarios externos.
La segunda ruta funciona sólo en entornos WMS Pro con inicio de sesión LDAP configurado. En esa configuración, los investigadores dicen que un atacante puede importar el nuevo administrador utilizando el objectGUID y el sAMAccountName de un usuario de dominio con pocos privilegios comprometido y luego iniciar sesión en la cuenta de administrador con esas credenciales de dominio.
Cómo se logra la ejecución remota de código
Una vez que se establece el acceso administrativo, la etapa final pasa a la carga de archivos y el control de rutas. Positive Technologies dice que WMS incluye filtros destinados a bloquear los trucos clásicos de recorrido de rutas, pero un administrador puede cambiar la ruta predeterminada del repositorio local a través de un punto final oculto. Los investigadores dicen que señalaron esa ruta al directorio de la aplicación web ROOT de Tomcat, donde está habilitada la ejecución de JSP.
Eso por sí solo no es suficiente porque WMS almacena en caché la ruta del repositorio en la memoria.Tecnologías Positivas diceel atacante puede borrar ese caché reiniciando Tomcat mediante una acción de administrador disponible. Después de ese reinicio, una carga útil JSP cargada a través de una ruta de carga de imágenes se escribe en la raíz web, lo que luego conduce a la ejecución del comando en el servidor.
Cómo se ve la cadena de explotación completa
| Escenario | Lo que dicen los investigadores sucede | Resultado |
|---|---|---|
| Punto de apoyo inicial | Registre un dispositivo no autorizado con un token de grupo vacío en la configuración local predeterminada | El atacante obtiene un identificador de dispositivo y un código de autenticación |
| Escalada de privilegios | Abuso de importADUserGroups, addRoleToADGroup e importADUser | Se crea una nueva cuenta de administrador |
| Omisión de autenticación | Utilice lógica de restablecimiento de contraseña o ruta de inicio de sesión basada en LDAP | El atacante inicia sesión como administrador |
| Abuso del repositorio | Cambie la ruta del repositorio de archivos local a Tomcat ROOT | Subir movimientos de destino a la raíz web |
| Restablecer caché | Reinicie Tomcat para borrar la ruta en caché | Se activa una nueva ruta |
| Ejecución de código | Cargue la carga útil JSP a través de una ruta de carga de imágenes | Ejecución remota de código en el servidor WMS |
Por qué esto importa
Este caso muestra cómo pequeños fallos lógicos pueden volverse mucho más graves cuando se combinan. El aviso de Dell enumera los problemas individualmente, pero el artículo del investigador muestra cómo un atacante real podría pasar de una posición inicial débil a tomar el control total del servidor encadenando los errores. Eso hace que la aplicación de parches sea más urgente para las organizaciones que ejecutan WMS local para administrar clientes ligeros y la infraestructura relacionada.
También es importante porque los errores afectan a la capa de gestión, no solo a un único punto final. Un compromiso exitoso de WMS podría brindarle a un atacante control sobre el sistema utilizado para administrar los entornos de clientes ligeros de Dell, lo que puede ampliar el impacto mucho más allá de un servidor. Este riesgo se deriva directamente de la descripción de Dell de que las fallas pueden explotarse para comprometer el sistema afectado y de la demostración del investigador sobre la ejecución de comandos en el host WMS.
Qué deberían hacer los administradores ahora
- Actualice Dell Wyse Management Suite local a la versión 5.5 o posterior. Dell enumera la 5.5 como la versión corregida para las fallas afectadas.
- Revise si su implementación expone las interfaces WMS más ampliamente de lo necesario. La cadena informada se basa en el acceso a la API, que debería estar estrictamente restringido.
- Verifique la configuración de SMTP y restablecimiento de contraseña, especialmente si se permite el correo saliente externo desde el servidor. Positive Technologies dice que esa condición ayuda a que una versión de la cadena tenga éxito.
- Audite la configuración de LDAP en implementaciones de WMS Pro y revise el uso de cuentas AD importadas. La ruta exclusiva para Pro descrita por los investigadores depende del inicio de sesión LDAP y de un usuario de dominio comprometido.
- Revise la configuración del repositorio local y cualquier reinicio inesperado de Tomcat. Esas acciones jugaron un papel directo en la etapa de ejecución remota del código descrita en la investigación.
Preguntas frecuentes
¿Qué es CVE-2026-22765?
Dell dice que CVE-2026-22765 es una vulnerabilidad de autorización faltante en las versiones de Dell Wyse Management Suite anteriores a la 5.5. Un atacante remoto con pocos privilegios podría aprovecharlo para obtener privilegios elevados.
¿Qué es CVE-2026-22766?
Dell dice que CVE-2026-22766 es una carga sin restricciones de archivos con una vulnerabilidad de tipo peligroso en versiones de WMS anteriores a la 5.5. Un atacante remoto con altos privilegios podría aprovecharlo para lograr la ejecución remota.
¿Esto afecta el WMS alojado en la nube?
El artículo de asesoramiento e investigadores se centra en Dell Wyse Management Suite On-Premises. La lista de productos afectados en el aviso de Dell cubre versiones anteriores a la 5.5 para el producto local.
¿Qué ediciones se ven afectadas?
La investigación dice que las ediciones locales Standard y Pro se ven afectadas, aunque una de las rutas de inicio de sesión requiere Pro con LDAP configurado.
¿Qué deberían hacer las organizaciones primero?
Parche a WMS 5.5 o posterior de inmediato, luego revise la creación de la cuenta de administrador, la configuración de LDAP, el comportamiento de restablecimiento de contraseña habilitado para SMTP, las rutas del repositorio de archivos y cualquier reinicio sospechoso de Tomcat. El aviso de Dell enumera claramente la versión 5.5 como la versión corregida.