Splunk a publié des mises à jour de sécurité corrigeant trois vulnérabilités critiques notées 9,9 par le système CVSS, ainsi que deux failles d’exécution de code à distance (RCE) affectant Splunk Enterprise.
Publiés le 21 octobre, les avis portent sur deux failles critiques de Splunk Enterprise et une de Splunk SOAR. Splunk n’a pas confirmé si les trois vulnérabilités critiques permettent une RCE sans authentification, mais son avis distinct consacré à Enterprise décrit deux problèmes d’exécution de commandes nécessitant des privilèges utilisateur existants.
Les administrateurs peuvent corriger les vulnérabilités récemment divulguées en mettant à niveau Splunk Enterprise vers les versions 10.4.4, 10.2.8, 10.0.11 ou 9.4.16, selon la branche, et Splunk SOAR vers la version 8.7.0.
Trois vulnérabilités critiques de Splunk notées 9,9
L’avis de renforcement de la sécurité d’Enterprise de Splunk identifie quatre vulnérabilités, dont deux notées 9,9 par le système CVSS :
- CVE-2026-76299 (9,9) : contrôle d’accès incorrect, classé CWE-284.
- CVE-2026-76302 (9,9) : neutralisation incorrecte, classée CWE-707.
- CVE-2026-76300 (8,8) : contrôle incorrect d’une ressource pendant son cycle de vie.
- CVE-2026-76301 (7,6) : défaillance du mécanisme de protection.
Splunk regroupe plusieurs problèmes identifiés en interne selon l’énumération des faiblesses courantes (CWE), en attribuant un CVE à chaque groupe. Le score CVSS publié correspond au score le plus élevé parmi les problèmes de ce groupe.
L’entreprise n’a pas communiqué les conditions détaillées d’exploitation ni les vecteurs CVSS des deux vulnérabilités Enterprise notées 9,9. Leurs exigences en matière d’authentification et leur potentiel de RCE restent donc à confirmer.
Un avis SOAR distinct identifie la CVE-2026-76531, une autre vulnérabilité notée 9,9 impliquant des fichiers ou des répertoires accessibles à des parties externes.
Splunk n’a pas non plus identifié cette faille de SOAR comme une RCE sans authentification.
Cette divulgation intervient après d’anciennes vulnérabilités de Splunk permettant une élévation de privilèges qui révélaient des faiblesses dans la manière dont la plateforme protège les composants sensibles.
Deux failles RCE confirmées nécessitent une authentification
L’avis de sécurité d’Enterprise de Splunk, publié le 21 octobre, décrit séparément deux failles susceptibles de permettre à des attaquants d’exécuter des commandes du système d’exploitation.
CVE-2026-76293 (CVSS 7,2) concerne le gestionnaire XML de Splunk Web. Un utilisateur disposant de la edit_manager_xml capacité pourrait exécuter des commandes avec les autorisations du compte exécutant Splunk Enterprise.
La vulnérabilité nécessite des privilèges élevés et affecte les versions d’Enterprise antérieures aux versions 10.4.3, 10.2.8, 10.0.11 et 9.4.16.
CVE-2026-76298 (CVSS 8,8) implique une clé cryptographique codée en dur dans le service PostgreSQL sidecar.
Un utilisateur ne disposant pas du rôle d’administrateur ou de puissance pourrait déduire le mot de passe du superutilisateur de la base de données et exécuter des commandes du système d’exploitation sur les membres du cluster de search heads.
Cette faille nécessite de faibles privilèges et affecte les versions d’Enterprise antérieures aux versions 10.4.4 et 10.2.8.
Aucune de ces vulnérabilités n’est classée comme une RCE sans authentification.
Le même avis identifie deux vulnérabilités de déni de service sans authentification, les CVE-2026-76288 et CVE-2026-76290, chacune notée 7,5 par le système CVSS.
Ces résultats montrent que la publication du 21 octobre contient plusieurs risques de sécurité distincts, et non un seul exploit RCE critique.
Une RCE distincte sans authentification a été divulguée le 7 octobre
Splunk avait précédemment confirmé une vulnérabilité RCE sans authentification, la CVE-2026-76268, dans son avis du 7 octobre.
La faille affecte l’API REST Patroni sur les membres des clusters de search heads de Splunk Enterprise. Un attaquant non authentifié disposant d’un accès réseau à l’interface pouvait exécuter des commandes du système d’exploitation.
Notée 9,8 par le système CVSS, la vulnérabilité affecte les versions d’Enterprise antérieures aux versions 10.4.3 et 10.2.7. Les branches 10.0.x et 9.4.x ne sont pas concernées.
Il s’agit d’une divulgation distincte de celle des vulnérabilités du 21 octobre, à ne pas confondre avec les problèmes plus récents notés 9,9.
Les entreprises qui gèrent plusieurs déploiements Splunk devraient examiner les deux publications, en particulier lorsque d’anciens membres de clusters de search heads restent accessibles.
Versions concernées et recommandations de correctifs
Splunk recommande de mettre à niveau les produits concernés vers les versions suivantes ou ultérieures :
| Produit | Versions concernées | Version corrigée |
|---|---|---|
| Splunk Enterprise 10.4 | 10.4.0–10.4.3 | 10.4.4 |
| Splunk Enterprise 10.2 | 10.2.0–10.2.7 | 10.2.8 |
| Splunk Enterprise 10.0 | 10.0.0–10.0.10 | 10.0.11 |
| Splunk Enterprise 9.4 | 9.4.0–9.4.15 | 9.4.16 |
| Splunk SOAR | Antérieure à la version 8.7.0 | 8.7.0 |
Certaines vulnérabilités peuvent affecter des plages de versions plus restreintes.
Les publications du 21 octobre comprennent également des mises à jour de paquets tiers, permettant aux administrateurs de corriger les vulnérabilités natives et les dépendances concernées au moyen des mêmes mises à niveau d’Enterprise.
Les équipes de sécurité devraient donner la priorité aux actions suivantes :
- Dresser l’inventaire des installations Splunk Enterprise et SOAR, y compris des membres des clusters de search heads.
- Mettre à niveau les installations concernées vers les versions corrigées appropriées.
- Examiner les capacités privilégiées, notamment
edit_manager_xml, et restreindre les accès superflus. - Vérifier si le service PostgreSQL sidecar est activé sur les systèmes concernés.
- Examiner les exigences supplémentaires de correction pour les composants Splunk Secure Gateway et Edge Processor.
Pour la CVE-2026-76298, Splunk fournit une solution de contournement temporaire : désactiver le service PostgreSQL sidecar via la [postgres]stanza dans server.conf et redémarrer Splunk Enterprise.
Cette solution de contournement ne doit toutefois pas être appliquée aux instances utilisant Edge Processor, OpAmp ou les pipelines de données SPL2, car elle désactive ces fonctionnalités.
Les entreprises devraient également examiner leurs processus de gestion des correctifs plus larges afin d’identifier les déploiements qui utilisent encore des versions vulnérables.
Les correctifs du 21 octobre sont disponibles dès maintenant. Les administrateurs n’ont pas besoin d’attendre des informations supplémentaires sur l’exploitation avant d’effectuer la mise à niveau.
La question de savoir si Splunk publiera d’autres informations techniques sur les trois vulnérabilités notées 9,9 par le système CVSS reste ouverte. En attendant, leurs conditions d’attaque précises ne doivent pas être décrites comme une RCE sans authentification confirmée.
À lire également : récents correctifs de sécurité de NGINX corrigeant cinq vulnérabilités, dont trois classées critiques.