Splunkは、CVSSスコア9.9と評価された3件の重大な脆弱性と、Splunk Enterpriseに影響する2件のリモートコード実行（RCE）の脆弱性に対処するセキュリティアップデートをリリースしました。
10月21日に公開されたセキュリティアドバイザリーでは、Splunk Enterpriseの重大な脆弱性2件と、Splunk SOARの1件を取り上げています。Splunkは、この3件の重大な脆弱性が認証不要のRCEを可能にするかどうかを明らかにしていません。ただし、Enterprise向けの別のアドバイザリーには、既存のユーザー権限を必要とするコマンド実行の問題が2件記載されています。
管理者は、Splunk Enterpriseをブランチに応じてバージョン10.4.4、10.2.8、10.0.11、9.4.16のいずれかに、Splunk SOARを8.7.0にアップグレードすれば、今回公開された脆弱性に対処できます。
CVSS 9.9と評価されたSplunkの重大な脆弱性3件
SplunkのEnterpriseセキュリティ強化アドバイザリーでは4件の脆弱性を特定しており、そのうち2件がCVSS 9.9です。
- CVE-2026-76299（9.9）: 不適切なアクセス制御（CWE-284に分類）
- CVE-2026-76302（9.9）: 不適切な無害化処理（CWE-707に分類）
- CVE-2026-76300（8.8）: ライフサイクル全体を通じたリソースの不適切な制御
- CVE-2026-76301（7.6）: 保護メカニズムの不備
Splunkは、社内で特定した複数の問題を共通脆弱性タイプ一覧（CWE）ごとにまとめ、グループごとに1つのCVEを割り当てています。公表されているCVSSスコアは、そのグループ内で最も高く評価された問題のスコアです。
同社は、Enterpriseの9.9の脆弱性2件について、詳しい悪用条件やCVSSベクターを公開していません。そのため、認証の要否やRCEの可能性は未確認のままです。
SOAR向けの別のアドバイザリーでは、外部から到達可能なファイルやディレクトリに関するCVE-2026-76531を特定しています。これも9.9の脆弱性です。
Splunkは、このSOARの脆弱性についても、認証不要のRCEとは位置づけていません。
今回の公開は、プラットフォームが重要コンポーネントを保護する仕組みの弱点を示した、以前のSplunkの権限昇格の脆弱性に続くものです。
認証を必要とする、RCEの脆弱性2件を確認
Splunkが10月21日に公開したEnterpriseの脆弱性アドバイザリーは、攻撃者によるOSコマンドの実行を可能にしうる脆弱性2件を別に取り上げています。
CVE-2026-76293（CVSS 7.2）は、Splunk Web Manager XMLに影響します。edit_manager_xml権限を持つユーザーが、Splunk Enterpriseを実行するアカウントの権限でコマンドを実行できる可能性があります。
この脆弱性の悪用には高い権限が必要です。影響を受けるのは、Enterpriseの10.4.3未満、10.2.8未満、10.0.11未満、9.4.16未満の各バージョンです。
CVE-2026-76298（CVSS 8.8）は、PostgreSQLサイドカーサービスにハードコードされた暗号鍵に関する脆弱性です。
adminロールやpowerロールを持たないユーザーでも、データベースのスーパーユーザーパスワードを導き出し、サーチヘッドクラスターのメンバー上でOSコマンドを実行できる可能性があります。
この脆弱性は低い権限で悪用でき、影響を受けるのはEnterpriseの10.4.4未満と10.2.8未満のバージョンです。
いずれの脆弱性も、認証不要のRCEには分類されていません。
同じアドバイザリーでは、認証不要のサービス拒否（DoS）の脆弱性2件、CVE-2026-76288とCVE-2026-76290も特定しています。どちらもCVSSは7.5です。
これらの内容から、10月21日のリリースが単一の重大なRCE攻撃ではなく、複数の異なるセキュリティリスクを含んでいることがわかります。
10月7日には、認証不要のRCEが別途公開されていた
Splunkは以前、10月7日のアドバイザリーで、認証不要のRCEの脆弱性CVE-2026-76268を確認していました。
この脆弱性は、Splunk EnterpriseのサーチヘッドクラスターメンバーにおけるPatroni REST APIに影響します。インターフェースにネットワークからアクセスできる認証されていない攻撃者が、OSコマンドを実行できる可能性があります。
CVSSスコアは9.8で、影響を受けるのはEnterpriseの10.4.3未満と10.2.7未満のバージョンです。10.0.xと9.4.xのブランチは影響を受けません。
これは10月21日の脆弱性とは別の公開であり、今回の9.9の脆弱性と混同しないよう注意が必要です。
複数のSplunk環境を管理する組織は、両方のリリースを確認すべきです。特に、古いサーチヘッドクラスターメンバーに外部からアクセスできる場合は注意が必要です。
影響を受けるバージョンとパッチ適用の指針
Splunkは、影響を受ける製品を次のバージョン以降にアップグレードするよう推奨しています。
| 製品 | 影響を受けるバージョン | 修正バージョン |
|---|---|---|
| Splunk Enterprise 10.4 | 10.4.0–10.4.3 | 10.4.4 |
| Splunk Enterprise 10.2 | 10.2.0–10.2.7 | 10.2.8 |
| Splunk Enterprise 10.0 | 10.0.0–10.0.10 | 10.0.11 |
| Splunk Enterprise 9.4 | 9.4.0–9.4.15 | 9.4.16 |
| Splunk SOAR | 8.7.0未満 | 8.7.0 |
個々の脆弱性の影響範囲は、これより狭い場合があります。
10月21日のリリースには、サードパーティ製パッケージのアップデートも含まれています。管理者は、同じEnterpriseのアップグレードで、Splunk自体の脆弱性と影響を受ける依存パッケージの両方に対処できます。
セキュリティチームは、次の対応を優先すべきです。
- サーチヘッドクラスターのメンバーを含め、Splunk EnterpriseとSOARのインストール環境を棚卸しする
- 影響を受ける環境を、該当する修正バージョンにアップグレードする
- 特に
edit_manager_xmlなど特権的な権限を見直し、不要なアクセスを制限する - 影響を受けるシステムでPostgreSQLサイドカーサービスが有効になっているかを確認する
- Splunk Secure GatewayとEdge Processorコンポーネントについて、追加の対処要件を確認する
CVE-2026-76298については、Splunkが暫定的な回避策を提供しています。server.confの[postgres]スタンザでPostgreSQLサイドカーを無効にし、Splunk Enterpriseを再起動する方法です。
ただし、Edge Processor、OpAmp、SPL2データパイプラインを使用しているインスタンスでは、これらの機能が動作しなくなるため、この回避策を適用してはいけません。
組織は、より広範なパッチ管理プロセスも見直し、脆弱なリリースのまま残っている環境を洗い出すべきです。
10月21日の修正は、すでに利用可能です。管理者は、悪用に関する詳細が追加で公開されるのを待たずに、アップグレードを実施してください。
残る疑問は、Splunkが9.9の脆弱性3件について、さらに技術的な情報を公開するかどうかです。それまでは、これらの正確な攻撃条件を、確認済みの認証不要RCEと説明すべきではありません。
関連記事: NGINXのセキュリティパッチでは、重大な脆弱性3件を含む5件の脆弱性に対処しています。
翻訳元: https://www.esecurityplanet.com/vulnerabilities/news-splunk-critical-vulnerabilities-october-2026/
