SplunkとZoom、深刻な脆弱性にパッチを適用

SplunkとZoomは今週、複数の重大な脆弱性および高深刻度のセキュリティ欠陥を含む、各社製品に対するパッチを発表しました。

Splunkが公開した5件のアドバイザリのうち、自社製品固有の欠陥に対応するものは3件のみで、残る2件はサードパーティ製コンポーネントに存在する数十件のバグを修正するものです。

Splunk固有の問題には、CVE-2026-20296（高深刻度のコマンド保護機構バイパス）、CVE-2026-20297(高深刻度のパストラバーサル)、CVE-2026-20298(中程度の情報漏えい)が含まれます。

これらの脆弱性が悪用された場合、攻撃者が認証情報やデータにアクセスしたり、意図されたアプリケーションディレクトリ外にファイルを書き込んだり、保存されている認証情報のハッシュ値を閲覧したりできるおそれがあります。

これら3件に対するパッチは、Splunk Enterpriseのバージョン10.4.1、10.2.5、10.0.8、9.4.13に組み込まれており、これらのバージョンではGolang、Goコンパイラ、OpenSSLなど、サードパーティ製ライブラリに存在する緊急および高深刻度の脆弱性にも対応しています。

Zoomは4件のアドバイザリを公開し、Windows向けのクライアントおよびツール群にまたがる同数の脆弱性を解消しました。

その中でも最も深刻なのは、ZoomのWorkplaceおよびWorkplace VDI Client for Windowsに存在する緊急の脆弱性CVE-2026-53412（CVSSスコア9.8）で、リモートかつ未認証の攻撃者によるアカウント乗っ取り攻撃を許してしまうおそれがあります。

同社によるアップデートでは、TOCTOU（time-of-check-to-time-of-use）競合状態1件と、権限昇格の問題2件という、3件の高深刻度の欠陥も修正されています。  

SplunkとZoomのいずれも、これらの脆弱性が実際に悪用された事例については言及していません。