Splunk Enterprise／SOAR の深刻な脆弱性 24件が FIX：RCE や DoS などの恐れ

Splunk Fixes 24 Security Flaws, Including Four Critical Vulnerabilities in Enterprise and SOAR

2026/10/23 CyberSecurityNews — Splunk が公開したのは、Splunk Enterprise／Splunk SOAR に存在する 24件の脆弱性に対するセキュリティ・アップデートであり、そのうち 4件の脆弱性は、CVSS スコアが 9.3～9.9 と評価されている。2026年10月21日に Splunk は、3 件のセキュリティ・アドバイザリを通じて修正プログラムを公開した。対象となる問題には、アクセス制御／入力データ処理／ファイル外部公開／リモート・コード実行／サービス拒否 (DoS)／不適切な認可チェックなどが含まれる。

Splunk Enterprise のセキュリティ強化に関するアドバイザリでは、同社内の調査により発見された 4件の CVE が取り上げられている。

脆弱性 CVE-2026-76299／CVE-2026-76302 は、CVSSスコアが 9.9 であり、不適切なアクセス制御と、入力データなどに対する不適切な無害化処理に関連している。

脆弱性 CVE-2026-76300 は CVSSスコア 8.8 であり、リソースのライフサイクル全体にわたる不十分な管理に起因する。また、CVE-2026-76301 は CVSS スコア 7.6 で、セキュリティ保護機構の不備に関連する。

Splunk は、社内で発見された問題を弱点の種類ごとに分類しているため、1 件の CVE が複数の関連する問題を表している場合がある。

Splunk SOAR のアドバイザリでは、バージョン 8.7.0 で修正された 8件の CVE が報告されている。

最も深刻なのは、CVSS スコア 9.9 の CVE-2026-76531 である。この脆弱性を悪用する攻撃者は、ファイルやディレクトリへの不正アクセスを、外部の第三者に許す恐れがある。

CVE-2026-76407 も CVSSスコア 9.3 の重大な脆弱性であり、不適切なアクセス制御に関連している。

その他の Splunk SOAR の脆弱性には、URL パスの不適切な検証／入力データの処理不備／リソース管理の不備／セキュリティ保護機構の問題などが含まれる。

Critical な 4件の脆弱性
CVE製品CVSSCWE
CVE-2026-76299Splunk Enterprise9.9CWE-284
CVE-2026-76302Splunk Enterprise9.9CWE-707
CVE-2026-76407Splunk SOAR9.3CWE-284
CVE-2026-76531Splunk SOAR9.9CWE-552
修正された 24件のセキュリティ脆弱性

別の Splunk Enterprise セキュリティ・アドバイザリでは、さらに 12件の脆弱性が報告されている。このうち、CVE-2026-76291／CVE-2026-76298 は、いずれも CVSS スコア 8.8 と評価されている。

スケジュール済み検索を実行する権限を持つユーザーが、脆弱性 CVE-2026-76291 を悪用してセキュリティ上の制限を回避し、危険な SPL (Search Processing Language) コマンドを実行する可能性がある。

また、権限の低いユーザーが CVE-2026-76298 を悪用すると、PostgreSQL サイドカーのスーパーユーザー・パスワードが導出され、サーチヘッド・クラスタのメンバー上で、オペレーティング・システムのコマンド実行に至る可能性がある。

CVE-2026-76293 も、リモートコード実行につながる脆弱性である。edit_manager_xml 権限を持つユーザーであれば、Splunk Web Manager XMLを通じて、オペレーティング・システムのコマンドを実行する可能性がある。

深刻度 High の 11件の脆弱性
CVE製品CVSSCWE
CVE-2026-76291Splunk Enterprise8.8CWE-284
CVE-2026-76298Splunk Enterprise8.8CWE-321
CVE-2026-76300Splunk Enterprise8.8CWE-664
CVE-2026-76408Splunk SOAR8.8CWE-664
CVE-2026-76526Splunk SOAR8.8CWE-707
CVE-2026-76530Splunk SOAR8.8CWE-647
CVE-2026-76301Splunk Enterprise7.6CWE-693
CVE-2026-76288Splunk Enterprise7.5CWE-400
CVE-2026-76290Splunk Enterprise7.5CWE-400
CVE-2026-76529Splunk SOAR7.5CWE-424
CVE-2026-76293Splunk Enterprise7.2CWE-94

認証を必要としない2件のサービス拒否 (DoS) の脆弱性 CVE-2026-76288／CVE-2026-76290 を悪用する攻撃者は、細工された Web リクエストやパッケージのダウンロードを繰り返すことにより、Splunk サービスの応答を妨害する可能性がある。

その他の脆弱性は、REST APIの認可処理／フィールド抽出の管理／ソースタイプの名前変更／SPLのフィルタリング／フェデレーション検索の操作などに影響する。

Splunk は多くの組織でセキュリティ監視の中核を担っているため、インスタンスが侵害されると、ログ情報の漏えい／脅威検出能力の低下／インシデント調査の妨害などにつながるおそれがある。

いくつかの脆弱性を悪用する攻撃者は、特定の権限を持つ認証済みユーザーによる操作を必要とする。しかし、認証が必要であることは、必ずしもリスクが低いことを意味しない。

認証情報の窃取／ユーザーロールへの過剰な権限付与／内部アクセス制御の不備などにより、悪用に必要なアクセス権限を攻撃者が取得する可能性がある。

その一方で、認証不要のサービス拒否の脆弱性は、アカウントを持たない攻撃者でもサービスに影響を与えられるため、インターネットに公開されたシステムでは特に注意が必要である。

深刻度 Medium の 9件の脆弱性
CVE製品CVSSCWE
CVE-2026-76289Splunk Enterprise6.5CWE-770
CVE-2026-76292Splunk Enterprise / Secure Gateway6.5CWE-862
CVE-2026-76528Splunk SOAR6.2CWE-693
CVE-2026-76527Splunk SOAR5.5CWE-703
CVE-2026-76287Splunk Enterprise5.4CWE-639
CVE-2026-76294Splunk Enterprise4.3CWE-862
CVE-2026-76295Splunk Enterprise / Secure Gateway4.3CWE-943
CVE-2026-76296Splunk Enterprise4.3CWE-862
CVE-2026-76297Splunk Enterprise4.2CWE-352
修正済みバージョンと推奨される対応

ユーザー組織にとって必要なことは、アップデートの計画にあたり、外部に公開されているインターフェイスとユーザーに割り当てられた権限を確認することである。管理者に推奨されるのは、使用している製品系列に応じて、以下の修正済みバージョンにアップグレードすることである。

製品修正済みバージョン
Splunk Enterprise 10.4系10.4.4
Splunk Enterprise 10.2系10.2.8
Splunk Enterprise 10.0系10.0.11
Splunk Enterprise 9.4系9.4.16
Splunk SOAR8.7.0以降
Splunk Secure Gateway 3.10系3.10.12
Splunk Secure Gateway 3.9系3.9.26
Splunk Secure Gateway 3.8系3.8.73

Splunk によると、脆弱性 CVE-2026-76292 および CVE-2026-76295 に対処するには、Splunk Secure Gateway においても、対応する修正済みバージョンへのアップデートが必要になる。

すぐにパッチを適用できない組織は、脆弱性の種類に応じて、使用していない機能を無効化することで、攻撃にさらされる範囲を縮小できる。

  • Splunk Web
  • Pipeline Builders
  • Secure Gateway
  • PostgreSQL サイドカー

ただし、これらの機能を無効化すると、主要な業務機能に影響する可能性がある。そのため、管理者は設定を変更する前に、各機能への依存関係を確認する必要がある。

また、過去に報告された Splunk Enterprise の複数の脆弱性や、Splunk SOARのセキュリティ・アップデートに関する情報も、これまでの修正履歴やリスクを把握する上で参考になる。

今回の 24件の脆弱性については、認証不要のサービス拒否から、特定の権限を必要とするコマンド実行に至るまで、悪用の条件が異なる点に注意が必要である。

この記事は、統合ログ解析・セキュリティ監視基盤である Splunk Enterprise および Splunk SOAR における複数のセキュリティ上の不具合について解説するものです。アクセス制御の検証不足や入力データの無害化処理の欠如が背景に存在します。影響として、権限のないデータ参照／不正なシステム命令の実行／サービス動作の停止が生じる恐れがあります。対応策として、指定された修整版への更新／運用環境に応じた公開機能の制限／接続権限の見直しが求められます。