Uma nova vulnerabilidade crítica colocou administradores do Dell ObjectScale em alerta. O problema está em uma plataforma de armazenamento corporativo da Dell Technologies e reúne três características que tornam uma falha particularmente preocupante: pode ser alcançada remotamente, não exige autenticação e tem como consequência possível a execução de código.
Registrada como CVE-2026-70416, a vulnerabilidade recebeu CVSS 10,0, pontuação máxima da escala. Segundo as informações publicadas sobre o caso, todas as versões do ObjectScale anteriores à 4.4.0.0 estão no grupo afetado.
A boa notícia é que a correção já existe. Para organizações que utilizam a plataforma, portanto, o momento é de identificar instalações vulneráveis e planejar a atualização, em vez de aguardar possíveis relatos de exploração.
Uma falha de desserialização está no centro do problema
Tecnicamente, a CVE-2026-70416 é classificada como uma vulnerabilidade de desserialização de dados não confiáveis, categoria identificada como CWE-502.
Aplicações frequentemente precisam receber dados estruturados e convertê-los novamente em objetos que possam ser processados pelo software. Esse mecanismo é conhecido como desserialização e, por si só, faz parte do funcionamento normal de muitos sistemas.
O problema aparece quando dados controlados externamente são aceitos e processados de forma insegura. Dependendo da implementação, uma entrada criada especialmente por um atacante pode provocar um comportamento que os desenvolvedores não pretendiam permitir.
No caso do ObjectScale, a consequência potencial indicada para a CVE-2026-70416 é execução remota de código. Portanto, não se trata somente de provocar uma falha no serviço ou visualizar determinada informação: o risco envolve executar código controlado pelo invasor no ambiente vulnerável.
O invasor não precisa primeiro roubar uma senha
A ausência de autenticação é uma das razões para a classificação extremamente elevada.
As informações disponíveis sobre a vulnerabilidade indicam que um atacante remoto pode explorá-la sem possuir credenciais válidas.
Isso faz diferença na prática. Quando uma vulnerabilidade exige acesso administrativo prévio, o invasor normalmente precisa superar outra camada de segurança antes de chegar à falha. Neste caso, essa exigência não existe.
Ainda assim, isso não significa que toda instalação do ObjectScale esteja automaticamente aberta para ataques vindos diretamente da internet. A possibilidade real de alcançar o componente vulnerável depende da arquitetura, da exposição de rede e das configurações utilizadas por cada organização.
Por que uma falha no ObjectScale merece tanta atenção?
O ObjectScale é uma solução de armazenamento de objetos destinada a ambientes empresariais e a grandes volumes de dados. Plataformas desse tipo podem sustentar aplicações, ambientes com contêineres e Kubernetes, arquivos, backups, repositórios de objetos e diferentes workloads corporativos.
Essa função torna o impacto potencial particularmente relevante.
Quando uma infraestrutura de armazenamento é comprometida, o problema pode alcançar dados e serviços que dependem dela. Dependendo da arquitetura da organização, o mesmo ambiente também pode armazenar informações utilizadas em processos de recuperação e backup.
É justamente por isso que vulnerabilidades críticas em componentes de armazenamento costumam exigir tratamento prioritário.
Nota 10 não quer dizer que todas as instalações foram comprometidas
A pontuação CVSS 10,0 descreve a gravidade técnica da vulnerabilidade dentro dos critérios considerados pelo sistema de classificação. Ela não informa quantos servidores foram atacados e muito menos significa que toda instalação vulnerável já foi invadida.
Até as informações públicas verificadas pelo Café com Bytes, não há confirmação de exploração ativa generalizada da CVE-2026-70416 nem evidência pública de um exploit funcional sendo empregado em ataques reais.
O acompanhamento da vulnerabilidade também indicava, até 13 de setembro, ausência de exploração conhecida e de uma prova de conceito pública.
Essa ausência de ataques conhecidos é positiva, mas não deve ser interpretada como motivo para adiar a atualização.
Depois da divulgação começa outra corrida
A publicação de uma correção de segurança também fornece pistas para quem tenta descobrir como uma vulnerabilidade funciona.
Pesquisadores podem comparar o software antes e depois da atualização para entender o que foi alterado. Essa análise, conhecida como patch diffing, também pode ser realizada por atacantes.
Ao observar as diferenças entre a versão vulnerável e a corrigida, alguém pode eventualmente identificar a origem do problema e tentar desenvolver uma forma funcional de exploração.
Por isso, existe uma janela importante entre a publicação de uma atualização crítica e o eventual aparecimento de ataques automatizados ou ferramentas públicas capazes de explorar a vulnerabilidade.
Versão 4.4.0.0 traz a correção
Para a CVE-2026-70416, a informação exibida na publicação compartilhada está correta: a correção está disponível no ObjectScale 4.4.0.0.
A área oficial de suporte da Dell apresenta o DSA-2026-393 entre os alertas recentes relacionados ao produto, enquanto a documentação da companhia já aponta a versão 4.4.0.0 na evolução das versões do ObjectScale.
Organizações que executam versões anteriores devem verificar a situação de seus ambientes e seguir o procedimento de atualização indicado pela fabricante.
Boletins oficiais de segurança do Dell ObjectScale
O boletim não trata apenas de uma CVE
Embora a CVE-2026-70416 seja o destaque pela gravidade, o DSA-2026-393 reúne cinco vulnerabilidades relacionadas ao ObjectScale e, em alguns casos, ao Dell ECS.
Entre elas aparece a CVE-2025-43936, classificada com CVSS 8,1. Trata-se de uma falha de autenticação inadequada que também pode proporcionar acesso remoto não autenticado, embora com maior complexidade de ataque.
O conjunto ainda inclui problemas relacionados a gerenciamento de privilégios, atribuição de permissões e utilização de algoritmo criptográfico considerado inadequado.
Assim, migrar para a versão corrigida não resolve somente a vulnerabilidade que recebeu nota 10.
Há uma atualização anterior que não deve ser confundida com esta
Administradores do ObjectScale também precisam observar que a Dell divulgou outro conjunto de correções recentemente.
Em 17 de agosto de 2026, o boletim DSA-2026-328 tratou de vulnerabilidades que afetavam versões anteriores à 4.3.0.1. Entre os problemas estavam injeção de comandos, path traversal e exposição de informações. Várias dessas vulnerabilidades dependiam de acesso local e de um atacante com baixos privilégios.
Esse boletim não é o mesmo que trata da nova falha crítica.
A vulnerabilidade de execução remota sem autenticação discutida agora é a CVE-2026-70416, incluída no DSA-2026-393, e a versão indicada para a correção é a 4.4.0.0.
Isso significa que uma organização não deve concluir que está protegida contra a nova CVE simplesmente porque já atualizou anteriormente seu ambiente para 4.3.0.1.
Infraestruturas de armazenamento são ativos valiosos para criminosos
Há um motivo claro para que servidores desse tipo sejam interessantes para invasores. Uma plataforma de armazenamento pode reunir informações utilizadas simultaneamente por diferentes aplicações e, dependendo do projeto da infraestrutura, também pode concentrar backups.
Para grupos especializados em ransomware, atingir dados e mecanismos de recuperação pode ampliar significativamente o impacto de uma invasão.
Mas é importante separar possibilidade técnica de evidência concreta: não há informação pública verificada associando a CVE-2026-70416 a campanhas de ransomware neste momento.
A relevância desse cenário está no potencial de uma vulnerabilidade de execução remota em uma infraestrutura de armazenamento, e não em uma campanha de ataques que já tenha sido confirmada.
Empresas devem identificar versões e revisar exposição
A primeira tarefa para quem utiliza Dell ObjectScale é descobrir exatamente qual versão está instalada. Ambientes anteriores à 4.4.0.0 precisam ser confrontados com o boletim oficial e com o processo de atualização estabelecido pela Dell.
Além do patch, vale revisar quais componentes e interfaces podem ser alcançados pela rede. Serviços administrativos e recursos destinados apenas ao ambiente interno não deveriam ficar desnecessariamente expostos.
Segmentação de rede também pode limitar o alcance de um invasor caso outra máquina da organização seja comprometida. Da mesma forma, os registros do ObjectScale podem ser examinados em busca de comportamentos incomuns, sobretudo quando o sistema permaneceu acessível a partir de redes menos confiáveis.
A ausência de ataques conhecidos é justamente a oportunidade para corrigir
Esperar que uma vulnerabilidade entre no arsenal de criminosos antes de atualizar transforma uma correção preventiva em resposta a incidente.
Depois que uma CVE passa a ser incorporada a scanners automatizados ou ferramentas de exploração, servidores vulneráveis podem começar a ser encontrados em escala.
No caso da CVE-2026-70416, os elementos que justificam prioridade já estão presentes: execução remota de código, ausência de autenticação e CVSS 10,0.
Até agora, não há confirmação pública de exploração ativa generalizada. Ao mesmo tempo, a versão corrigida já está disponível.
Para organizações que dependem do ObjectScale, essa combinação oferece a melhor oportunidade para agir preventivamente: localizar instalações afetadas, avaliar a exposição de rede e atualizar para a versão corrigida conforme as orientações da Dell.
