Splunk の脆弱性 CVE-2026-76268 が FIX：認証とユーザー操作が不要の RCE

Splunk Patches Critical 9.8 Flaw Allowing Unauthenticated Remote Command Execution

2026/10/08 CyberSecurityNews — Splunk がリリースしたのは、攻撃者に対してログイン不要の OS コマンド実行を許す、深刻な Splunk Enterprise の脆弱性を修正するセキュリティ・アップデートである。この脆弱性 CVE-2026-76268 (CVSS 9.8) は、2026年10月7日に公表された。この脆弱性が影響を及ぼす対象は、サーチヘッド・クラスタのメンバー上で動作する Patroni REST API である。認証が欠如しているため、ネットワーク経由でアクセス可能な攻撃者に、重要な設定操作が公開される状態になっている。

Splunk は、この問題をセキュリティ・アドバイザリ SVD-2026-1001で説明している。影響を受けるのは、Splunk Enterprise の 10.4 系のバージョン 10.4.3 以下と、10.2 系のバージョン 10.2.7 以下である。

その一方、10.0.x／9.4.x は、この脆弱性の影響を受けないと Splunk は明示している。10月に公開された一連のセキュリティ・アップデートを確認する際に、この違いに注意する必要がある。

この脆弱性の原因は、重要な設定変更を許可する前に認証を要求しないインターフェイスにある。影響を受けるサーチヘッド・クラスタのメンバー上で、Patroni REST API にアクセスできる攻撃者は、そのアクセスを悪用して、ホスト上で自身が指定するコマンドを実行し得る。

この脆弱性は、CWE-306：重要な機能に対する認証の欠如に分類されている。悪用の重要な条件は、ネットワーク経由でのアクセスであるが、すべての Splunk 環境がインターネットから直接攻撃可能であることを意味するものではないと、同社は指摘している。実際の影響は、攻撃者が対象のインターフェイスに到達できるかどうかによって異なる。

ただし、悪用に際して、アカウント権限／ユーザー操作は不要である。公開された評価でも、攻撃の複雑性は低く、データの機密性／完全性／サービスの可用性に重大な影響を与える可能性があるとされている。

Splunk における重大な脆弱性の修正

Splunk は、この問題を社内で発見した研究者として Gabriel Nitu 氏を挙げている。公開情報では、認証の欠如について説明されているが、詳細な悪用手順は示されていない。また、深刻度スコアが示すのは潜在的なリスクであり、すでに実環境で攻撃者が脆弱性 CVE-2026-76268 を悪用したことを証明するものではない。

影響を受けるバージョンを運用している管理者に求められるのは、Splunk Enterprise 10.4.3／10.2.7 以降のリリースへのアップグレードである。単一のサーバを更新しただけで環境全体が保護されたと判断せず、関連する各クラスタ・メンバーのバージョン／設定を確認する必要がある。

すぐに更新できない環境に対して、Splunk は条件付きの回避策を提供している。Edge Processor／OpAmp／SPL2 データ・パイプラインを使用していない場合に、PostgreSQL サイドカーを無効化する方法である。具体的には、$SPLUNK_HOME/etc/system/local/server.conf の [postgres] セクションに disabled = true を設定し、Splunk Enterprise を再起動する。

この回避策が適用できるかどうかは、環境で使用している機能によって異なる。そのため、管理者は設定を変更する前に、関連するサイドカー設定のドキュメントを確認する必要がある。

Splunk は、社内で特定された複数の脆弱性を対象とする SVD-2026-1002 も公開したが、それらは 10.4.3／10.2.7／10.0.10／9.4.15 で修正されている。このセキュリティ強化に関するアドバイザリでは、単一のコマンド実行の脆弱性ではなく、5 件の CVE 識別子に分類された問題も扱っている。別のアクセス制御に関する脆弱性群である CVE-2026-76281 も、最大 CVSS スコアは 9.8 に達する。

この違いは重要である。古いバージョン系列は CVE-2026-76268 の影響を受けない場合でも、今回の広範なアップデートの対象となっている。関連する背景情報として、Cybersecuritynews が以前に報じた Splunk Enterprise の認証前 RCE 攻撃チェーン／Splunk の 8月のセキュリティ・パッチも参照できる。ただし、これらの記事が扱っているのは別の脆弱性であり、今回公表された CVE-2026-76268 が悪用された証拠として扱うべきではない。

Splunk 製データ分析プラットフォームにおける深刻な欠陥 CVE-2026-76268 について解説する記事です。制御インターフェイスにおける検証処理の欠落に伴い、不正な設定変更／未認証でのコマンド実行／サービス停止といった不具合が生じる危険性があります。対象となる CVE は CVE-2026-76268／CVE-2026-76281 です。対象となる製品は Splunk Enterprise です。対応策として安全なバージョンへの更新／設定ファイルの変更による機能無効化が求められます。