Splunk corrige una vulnerabilidad crítica en Splunk Enterprise que permite ejecutar comandos sin autenticación

Qué ha pasado

El 7 de octubre de 2026 Splunk publicó el aviso de seguridad SVD-2026-1001, que soluciona 17 vulnerabilidades en Splunk Enterprise y en varias de sus aplicaciones. La puntuación más alta del conjunto es 9,8 (crítica).

El fallo crítico es CVE-2026-76268: en versiones de Splunk Enterprise inferiores a 10.4.3 y 10.2.7, un usuario no autenticado con acceso de red a la API REST de Patroni en un miembro de un clúster de search heads puede ejecutar comandos del sistema operativo elegidos por él. Según el aviso de Splunk, el problema se debe a que esa interfaz no exige autenticación para operaciones críticas de configuración. Las versiones 10.0.x y 9.4.x no están afectadas por esta vulnerabilidad concreta.

El resto de fallos corregidos son de severidad media o alta y afectan sobre todo a la API REST, a Splunk Secure Gateway y a las aplicaciones de observabilidad. Destaca CVE-2026-76266 (7,7, alta), una escalada de privilegios local a root durante la actualización de paquetes en Linux. Los demás son: CVE-2026-76264, CVE-2026-76265, CVE-2026-76267, CVE-2026-76269, CVE-2026-76270, CVE-2026-76271, CVE-2026-76272, CVE-2026-76273, CVE-2026-76274, CVE-2026-76275, CVE-2026-76276, CVE-2026-76277, CVE-2026-76278, CVE-2026-76279 y CVE-2026-76280, e incluyen control de acceso insuficiente, inyección SQL en el catálogo de módulos SPL2, SSRF, denegación de servicio y divulgación de información.

A quién afecta

Según la tabla de productos del aviso de Splunk, están afectadas estas ramas de Splunk Enterprise:

• Splunk Enterprise 10.4.0 a 10.4.2 (corregido en 10.4.3)
• Splunk Enterprise 10.2.0 a 10.2.6 (corregido en 10.2.7)
• Splunk Enterprise 10.0.0 a 10.0.9 (corregido en 10.0.10)
• Splunk Enterprise 9.4.0 a 9.4.14 (corregido en 9.4.15)
• Splunk Secure Gateway por debajo de 3.10.11, 3.9.25 y 3.8.72

Estado de la explotación

CVE-2026-76268 no figura en el catálogo KEV de CISA, es decir, no hay explotación activa confirmada, y tampoco se conoce código de explotación público. FIRST todavía no ha asignado una puntuación EPSS a esta vulnerabilidad.

Aun así, se trata de un fallo de ejecución remota de comandos sin autenticación y con vector de red, el perfil que suele atraer antes la atención de los atacantes. La ausencia de explotación conocida no debe retrasar la actualización.

Qué hacer

La recomendación principal es actualizar cuanto antes a las versiones corregidas y revisar la exposición de los servicios internos de Splunk.

• Actualizar Splunk Enterprise a 10.4.3, 10.2.7, 10.0.10 o 9.4.15, o versiones superiores, según la rama en uso.
• Actualizar Splunk Secure Gateway a 3.10.11, 3.9.25 o 3.8.72, o superior. Si no es posible actualizar, el aviso contempla desactivar o eliminar la aplicación, teniendo en cuenta que Splunk Mobile, Spacebridge y Mission Control dependen de ella.
• Aplicar los pasos adicionales que el fabricante exige para CVE-2026-76264, CVE-2026-76265, CVE-2026-76272 y CVE-2026-76280. En el caso de CVE-2026-76264, tras actualizar hay que establecer scripted_lookup_raw_write_enforcement = block en la sección [lookup] del fichero limits.conf y reiniciar Splunk Enterprise.
• Comprobar que la API REST de Patroni de los miembros del clúster de search heads no sea accesible desde redes no confiables y restringirla mediante segmentación o cortafuegos.
• Revisar los registros de acceso a las interfaces REST en busca de peticiones anómalas antes de la actualización.

Fuentes

• Splunk SVD-2026-1001

Tecnologías afectadas

Vulnerabilidades (1)