Het NCSC heeft advisory NCSC-2026-0412 gepubliceerd over 22 kwetsbaarheden in Splunk Enterprise, verdeeld over twee advisories die Splunk begin oktober uitbracht.
De meest kritieke fout, CVE-2026-76268, scoort 9,8 op de CVSS-schaal. De Patroni REST API op leden van een search head cluster vereist geen authenticatie, waardoor een aanvaller zonder inloggegevens besturingssysteemcommando’s kan uitvoeren. Wie Edge Processor, OpAmp en SPL2-pipelines niet gebruikt, kan als tijdelijke maatregel disabled = true zetten in de [postgres]-stanza van server.conf. Ook CVE-2026-76281 scoort 9,8; die fout komt uit een apart hardeningsonderzoek naar interne toegangscontrole en is verder niet toegelicht.
De overige twintig kwetsbaarheden liggen lager in ernst, maar raken een breed scala aan functionaliteit. Gebruikers zonder admin- of power-rol kunnen bijvoorbeeld scripted lookups aanmaken, zoekopdrachten en loggegevens van andere gebruikers inzien via een job-ID, of via SQL-injectie in SPL2-modules bij privé-modules van collega’s kijken. Een lokale privilege-escalatie (CVE-2026-76266, CVSS 7,7) ontstaat tijdens pakketupgrades op Linux, die als root draaien en daarbij vertrouwen op aangepaste installatiebestanden. Wie dat risico nu al wil vermijden, kan tijdelijk een tar-installatie gebruiken in plaats van het Linux-pakket.
De kwetsbaarheden treffen Splunk Enterprise 9.4.0 tot 9.4.14, 10.0.0 tot 10.0.9, 10.2.0 tot 10.2.6 en 10.4.0 tot 10.4.2, en voor een deel ook Splunk Secure Gateway vóór 3.8.72, 3.9.25 of 3.10.11. Splunk heeft updates uitgebracht naar respectievelijk 9.4.15, 10.0.10, 10.2.7 en 10.4.3. Over actief misbruik of een publiek proof-of-concept is niets bekend.
Voor Nederlandse organisaties die Splunk als SIEM of logplatform draaien is dit geen update om op de lange baan te schuiven. De combinatie van een ongeauthenticeerde fout op clusterniveau en tientallen kleinere autorisatieproblemen raakt zowel de beheerinterface als de dagelijkse gebruikerswerking. Upgrade naar de genoemde versies en controleer, als dat niet meteen kan, of de tijdelijke mitigaties haalbaar zijn voor uw omgeving.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Draait u Splunk Enterprise? Upgrade naar 9.4.15, 10.0.10, 10.2.7 of 10.4.3 vanwege de ongeauthenticeerde RCE-fout in de Patroni REST API (CVSS 9,8). Kan dat niet meteen, zet dan de tijdelijke mitigatie in server.conf in.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.