Splunkは、CVSS 9.9と評価された重大な脆弱性3件に対処するセキュリティ更新を公開するとともに、Splunk Enterpriseに影響するリモートコード実行（RCE）脆弱性2件にも対処した。
10月21日に公開されたアドバイザリでは、Splunk Enterpriseの重大な脆弱性2件と、Splunk SOARの脆弱性1件を取り上げている。Splunkは、3件の重大な脆弱性が認証なしのRCEを可能にするかどうかを確認していないが、Enterpriseに関する別のアドバイザリでは、既存のユーザー権限を必要とするコマンド実行の問題2件を明らかにしている。
管理者は、ブランチに応じてSplunk Enterpriseを10.4.4、10.2.8、10.0.11、または9.4.16に、Splunk SOARを8.7.0にアップグレードすることで、今回新たに開示された脆弱性に対処できる。
重大度9.9と評価されたSplunkの重大な脆弱性3件
SplunkのEnterpriseセキュリティ強化アドバイザリでは、CVSS 9.9と評価された2件を含む、4件の脆弱性を特定している。
- CVE-2026-76299（9.9）：CWE-284に分類される、不適切なアクセス制御。
- CVE-2026-76302（9.9）：CWE-707に分類される、不適切な無害化。
- CVE-2026-76300（8.8）：存続期間中のリソースに対する不適切な制御。
- CVE-2026-76301（7.6）：保護機構の不備。
Splunkは、Common Weakness Enumeration（CWE）に基づき、内部で特定した複数の問題をグループ化し、各グループに1つのCVEを割り当てている。公開されたCVSSスコアは、そのグループ内で最も高く評価された問題を示す。
同社は、Enterpriseの重大度9.9の脆弱性2件について、詳細な悪用条件やCVSSベクトルを開示していない。そのため、認証要件とRCEにつながる可能性は確認されていない。
別のSOARアドバイザリでは、外部の当事者がアクセス可能なファイルまたはディレクトリに関係する、別の重大度9.9の脆弱性CVE-2026-76531を特定している。
Splunkは、このSOARの脆弱性も認証なしのRCEとは特定していない。
今回の開示に先立ち、Splunkの権限昇格脆弱性が公表されており、機密性の高いコンポーネントをプラットフォームが保護する方法の弱点が露呈していた。
確認されたRCE脆弱性2件には認証が必要
Splunkが10月21日に公開したEnterprise脆弱性アドバイザリでは、攻撃者によるオペレーティングシステムのコマンド実行を可能にする脆弱性2件について、別途説明している。
CVE-2026-76293（CVSS 7.2）はSplunk Web Manager XMLに影響する。edit_manager_xml権限を持つユーザーは、Splunk Enterpriseを実行しているアカウントの権限を使ってコマンドを実行できる。
この脆弱性の悪用には高い権限が必要で、10.4.3、10.2.8、10.0.11、9.4.16未満のEnterpriseバージョンに影響する。
CVE-2026-76298（CVSS 8.8）は、PostgreSQLサイドカーサービスにハードコードされた暗号鍵に関係する。
adminまたはpowerロールを持たないユーザーでも、データベースのスーパーユーザーパスワードを導出し、サーチヘッドクラスターメンバー上でオペレーティングシステムのコマンドを実行できる。
この脆弱性には低い権限で足り、10.4.4および10.2.8未満のEnterpriseバージョンに影響する。
いずれの脆弱性も認証なしのRCEには分類されていない。
同じアドバイザリでは、認証なしで悪用可能なサービス拒否脆弱性2件、CVE-2026-76288とCVE-2026-76290も特定しており、いずれもCVSS 7.5と評価されている。
これらの調査結果は、10月21日のリリースに単一の重大なRCEエクスプロイトが含まれているのではなく、複数の異なるセキュリティリスクが存在することを示している。
別の認証なしRCEが10月7日に開示されていた
Splunkは以前、10月7日のアドバイザリで、認証なしのRCE脆弱性CVE-2026-76268を確認していた。
この脆弱性は、Splunk Enterpriseのサーチヘッドクラスターメンバー上のPatroni REST APIに影響する。インターフェースにネットワークアクセスできる認証なしの攻撃者は、オペレーティングシステムのコマンドを実行できる。
CVSS 9.8と評価されたこの脆弱性は、10.4.3未満および10.2.7未満のEnterpriseバージョンに影響する。10.0.xおよび9.4.xのブランチは影響を受けない。
これは10月21日の脆弱性とは別の開示であり、今回新たに確認された重大度9.9の問題と混同すべきではない。
複数のSplunk環境を管理する組織は、特に古いサーチヘッドクラスターメンバーが引き続きアクセス可能な環境では、両方のリリースを確認すべきだ。
影響を受けるバージョンとパッチ適用の指針
Splunkは、影響を受ける製品を以下のバージョン以降にアップグレードすることを推奨している。
| 製品 | 影響を受けるバージョン | 修正版 |
|---|---|---|
| Splunk Enterprise 10.4 | 10.4.0–10.4.3 | 10.4.4 |
| Splunk Enterprise 10.2 | 10.2.0–10.2.7 | 10.2.8 |
| Splunk Enterprise 10.0 | 10.0.0–10.0.10 | 10.0.11 |
| Splunk Enterprise 9.4 | 9.4.0–9.4.15 | 9.4.16 |
| Splunk SOAR | 8.7.0未満 | 8.7.0 |
個々の脆弱性は、より限定されたバージョン範囲に影響する場合がある。
10月21日のリリースには、サードパーティーパッケージの更新も含まれており、同じEnterpriseのアップグレードによって、製品固有の脆弱性と影響を受ける依存関係の両方に対処できる。
セキュリティチームは、以下の対応を優先すべきだ。
- サーチヘッドクラスターメンバーを含め、Splunk EnterpriseおよびSOARのインストール状況を把握する。
- 影響を受ける環境を、適切な修正版にアップグレードする。
- 特権機能を確認し、
edit_manager_xml特に不要なアクセスを制限する。 - 影響を受けるシステムでPostgreSQLサイドカーサービスが有効になっているか確認する。
- Splunk Secure GatewayおよびEdge Processorコンポーネントに関する追加の修復要件を確認する。
CVE-2026-76298について、Splunkは暫定的な回避策として、[postgres]スタンザをserver.conf使ってPostgreSQLサイドカーを無効にし、Splunk Enterpriseを再起動する方法を提供している。
ただし、この回避策をEdge Processor、OpAmp、またはSPL2データパイプラインを使用しているインスタンスに適用してはならない。これらの機能が動作しなくなるためだ。
組織は、より広範なパッチ管理プロセスも確認し、脆弱なリリースのまま残っている環境を特定すべきだ。
10月21日の修正はすでに利用可能だ。管理者は、アップグレード前に追加の悪用詳細が公開されるのを待つ必要はない。
未解決の問題は、SplunkがCVSS 9.9の3件の脆弱性について、さらに技術情報を公開するかどうかだ。それまでは、正確な攻撃条件を確認済みの認証なしRCEとして説明すべきではない。
関連記事：最近のNGINXセキュリティパッチは、重大度がCriticalと評価された3件を含む5件の脆弱性に対処。