Splunk ha lanzado actualizaciones de seguridad para 24 vulnerabilidades en Splunk Enterprise y Splunk SOAR, incluyendo cuatro fallos críticos con puntuaciones CVSS que van desde 9.3 hasta 9.9.

Splunk publicó las correcciones el 21 de octubre de 2026, a través de tres avisos que cubren el control de acceso, el manejo de entradas, archivos expuestos, ejecución remota de código, denegación de servicio y comprobaciones de autorización débiles.

El aviso de endurecimiento de seguridad de Splunk Enterprise cubre cuatro CVE detectados internamente. El CVE-2026-76299 y el CVE-2026-76302 tienen ambos una puntuación de 9.9 e implican un control de acceso inadecuado y una neutralización incorrecta.

El CVE-2026-76300, con una puntuación de 8.8, se refiere al mal control de un recurso durante su vida útil, mientras que el CVE-2026-76301 tiene una puntuación de 7.6 por un fallo de protección. Splunk agrupa los hallazgos internos por tipo de debilidad, por lo que cada CVE puede representar más de un problema relacionado.

El aviso de Splunk SOAR enumera ocho CVE corregidos en la versión 8.7.0. El más grave es el CVE-2026-76531, calificado con 9.9, que puede dejar archivos o directorios abiertos a terceros.

El CVE-2026-76407 es otro problema crítico con una puntuación de 9.3 e implica un control de acceso inadecuado. Otros fallos de SOAR incluyen comprobaciones de rutas de URL inseguras, un manejo de entradas deficiente, controles de recursos débiles y fallos de protección.

Severidad Crítica:

Splunk corrige 24 fallos de seguridad

Un aviso de Splunk Enterprise independiente detalla otros 12 fallos, encabezados por el CVE-2026-76291 y el CVE-2026-76298 con 8.8. El primero podría permitir que un usuario con derechos de búsqueda programada evite las salvaguardas y ejecute comandos SPL riesgosos.

El segundo podría permitir que un usuario con pocos privilegios derive la contraseña del superusuario del sidecar de PostgreSQL y ejecute comandos del sistema operativo en los miembros del clúster del cabezal de búsqueda.

El CVE-2026-76293 también crea un riesgo de ejecución remota de código. Un usuario con la capacidad edit_manager_xml podría ejecutar comandos del sistema operativo a través de Splunk Web Manager XML.

Severidad Alta:

Dos errores de denegación de servicio no autenticados, CVE-2026-76288 y CVE-2026-76290, podrían hacer que los servicios de Splunk dejaran de responder mediante solicitudes web manipuladas o descargas repetidas de paquetes.

Los problemas restantes afectan la autorización de la API REST, la gestión de extracción de campos, el cambio de nombre de sourcetype, el filtrado SPL y las acciones de búsqueda federada.

Debido a que Splunk a menudo se encuentra en el centro del monitoreo de seguridad, una instancia comprometida podría exponer registros, debilitar la detección o interrumpir las investigaciones. Varios fallos requieren un usuario autenticado con capacidades, pero eso no los hace inofensivos.

Cuentas robadas, permisos de rol excesivos y reglas de acceso interno débiles podrían proporcionar el acceso necesario. Los problemas de denegación de servicio no autenticados merecen tu atención en sistemas orientados a internet porque pueden afectar el servicio sin necesidad de una cuenta.

Severidad Media:

Las organizaciones deberían revisar las interfaces expuestas y los roles de usuario mientras programan las actualizaciones. Los administradores deben actualizar Splunk Enterprise a 10.4.4, 10.2.8, 10.0.11 o 9.4.16 y pasar Splunk SOAR a 8.7.0 o posterior. Splunk también indica que el CVE-2026-76292 y el CVE-2026-76295 necesitan actualizaciones de Splunk Secure Gateway a 3.10.12, 3.9.26 o 3.8.73.

Los equipos que no puedan parchear de inmediato pueden reducir la exposición desactivando las funciones no utilizadas de Splunk Web, Pipeline Builders, Secure Gateway o el sidecar de PostgreSQL, dependiendo del fallo.

Estos pasos pueden afectar funciones clave, por lo que los administradores deben revisar las dependencias antes de realizar cambios. También puedes revisar la cobertura anterior de múltiples vulnerabilidades de Splunk Enterprise y las actualizaciones de seguridad de Splunk SOAR para obtener un historial de parches y contexto de riesgo más amplio.