Splunk Enterprise: Versagen eines Schutzmechanismus in Sicherheitshärtung

Zusammenfassung

CVE-2026-76301 ist ein Versagen eines Schutzmechanismus (CWE-693) in Splunk Enterprise, das im Sicherheitshärtungs-Release SVD-2026-1008 vom Oktober 2026 behoben wurde. Der NVD-Eintrag bewertet die Lücke mit 9.8 (kritisch) und einem netzwerkfähigen Vektor ohne erforderliche Rechte oder Benutzerinteraktion, doch Splunks Advisory führt diese CVE mit einem höchsten CVSS-Wert von 7.6, die Bewertungen weichen also voneinander ab. Die konkreten Fehler und der Angriffsweg sind nicht veröffentlicht, daher sind die genauen Bedingungen für eine Ausnutzung unbekannt.

Betroffen

• Splunk Enterprise 10.4.0 bis 10.4.3
• Splunk Enterprise 10.2.0 bis 10.2.7
• Splunk Enterprise 10.0.0 bis 10.0.10
• Splunk Enterprise 9.4.0 bis 9.4.15
• Splunk Cloud: Unbekannt (im Advisory nicht aufgeführt)
• Universal Forwarder: Unbekannt (im Advisory nicht aufgeführt)

Behoben in

• Splunk Enterprise 10.4.4
• Splunk Enterprise 10.2.8
• Splunk Enterprise 10.0.11
• Splunk Enterprise 9.4.16
• Oder jede spätere Version innerhalb dieser Linien

Umgehung

Für diese CVE ist keine Workaround dokumentiert.

• Übergangsmassnahme (allgemeine Härtungsempfehlung, nicht von Splunk): Netzwerkzugriff auf die Splunk-Web- und Management-Schnittstellen einschränken.

Ausnutzung

• CISA KEV: nicht aufgeführt.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Keine öffentliche Ausnutzung gemeldet und keine Indicators of Compromise veröffentlicht.
• Kein öffentlicher Proof of Concept bekannt.

Unsere Empfehlung

• Alle Splunk-Enterprise-Instanzen und deren Versionen inventarisieren, einschliesslich Forwarder und gehosteter oder verwalteter Instanzen.
• Jede Instanz auf die fixe Version ihrer Linie aktualisieren, zuerst die Hosts mit Internetzugang.
• Prüfen, dass die Splunk-Web- und Management-Ports nicht aus dem Internet oder aus unvertrauenswürdigen Netzen erreichbar sind.
• Logs vor dem Patchen auf ungewöhnliche Administrations- oder Login-Aktivitäten prüfen.
• NVD und das Splunk-Advisory auf Änderungen prüfen, einschliesslich des CVSS-Werts.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Splunk Advisory SVD-2026-1008 advisory.splunk.com
• OpenCVE record CVE-2026-76301 app.opencve.io
• HKCERT security bulletin on Splunk products www.hkcert.org
• Rescana analysis of Splunk Enterprise hardening release www.rescana.com
• Safeguard.sh analysis of Splunk Enterprise CVEs safeguard.sh
• Canadian Centre for Cyber Security Splunk advisory www.cyber.gc.ca

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:04.