CISA KEV 警告 26/06/18：Splunk Enterprise の脆弱性 CVE-2026-20253 を KEV に登録

CISA Warns of Splunk Enterprise Critical Function Vulnerability Actively Exploited in Attacks

2026/06/19 CyberSecurityNews — CISA は、Splunk Enterprise に存在する深刻な脆弱性が、実際の環境で積極的に悪用されているとして、組織に警告する高優先度アラートを発出した。この脆弱性 CVE-2026-20253 は、エンタープライズ環境に対する差し迫ったリスクを示しており、CISA の Known Exploited Vulnerabilities (KEV) カタログに追加された。

CISA によると、この脆弱性は、Splunk Enterprise 内の重要機能に対する認証メカニズムの欠如に起因する。具体的には、未認証の攻撃者が悪用できる PostgreSQL sidecar サービス・エンドポイントに影響を及ぼす。

悪用に成功した脅威アクターは、影響を受けるシステム上で任意のファイルの作成／削除を可能にするため、深刻な業務混乱やさらなる侵害につながる可能性がある。この欠陥は、機密性の高い操作に対する不十分なアクセス制御に起因し、CWE-306 (Missing Authentication for Critical Function) に分類される。

Splunk Enterprise の脆弱性に対するエクスプロイト

この脆弱性を悪用する攻撃者は、有効な認証情報を必要としない。そのため深刻度は大きく高まり、特にインターネットに公開されたインスタンスが脆弱となる。

ランサムウェア・キャンペーンとの関連性は確認されていないが、この脆弱性に対する悪用の容易さと潜在的影響の大きさから高リスクであると、CISA は強調している。

任意のファイル作成／削除の能力を悪用する攻撃者により、システム挙動の操作／ログ記録メカニズムの妨害／追加のペイロード展開などが引き起こされる可能性がある。

CISA は 2026年6月18日に CVE-2026-20253 を KEV カタログへ追加し、Binding Operational Directive (BOD) 26-04 に基づく修復を義務付けた。連邦政府機関は、3日後の6月21日までに、この脆弱性に対処することを求められており、脅威の緊急性が示されている。迅速なパッチ適用が不可能な組織に対して、CISA が推奨するのは当該製品の使用中止である。

さらに CISA は、潜在的な侵害を検出するため、同機関の Forensics Triage Requirements に従うよう関係者に促している。この要求には、ログの確認／通常とは異なるファイル活動の監視／PostgreSQL サービス・エンドポイントへの不正アクセス試行の特定などが含まれる。

攻撃シナリオの一例として考えられるのは、未認証の攻撃者が脆弱なエンドポイントに細工したリクエストを送信し、重要なコンフィグ・ファイルまたはログ・ファイルを上書きするケースである。これにより、セキュリティ監視の無効化や、ネットワーク内でのラテラル・ムーブメントが可能になり得る。

民間組織においても、Splunk Enterprise デプロイメントのインターネットへの公開の有無を直ちに評価し、必要なアップデートまたは緩和策を適用すべきである。

Splunk Enterprise を使用している組織は、この脆弱性を最優先事項として扱うべきである。パッチ適用／露出状況の評価／フォレンジック検証などを速やかに実施して悪用を防ぎ、潜在的な被害を最小限に抑えることが不可欠である。

訳者後書：Splunk Enterprise の認証欠如の脆弱性 CVE-2026-20253 が、CISA KEV に登録されました。この欠陥を突かれると、システム内でのファイルの作成／削除が引き起こされ、運用が妨害されるなどの深刻な事態に陥る可能性が生じます。最近の KEV の傾向である 3日間での修復義務が、この脆弱性にも適用されています。短期間での修正の義務付けは、対象となる脆弱性の深刻さの高さを示します。ご利用のチームに要求されるのは、速やかなパッチの適用です。