Splunk ha lanzado actualizaciones de seguridad para corregir una vulnerabilidad crítica en Splunk Enterprise (CVE-2026-76268). Este fallo, con una puntuación CVSS v3.1 de 9.8, permitiría a un atacante ejecutar comandos del sistema operativo de forma remota sin necesidad de autenticarse, afectando específicamente a la API REST de Patroni en los miembros del clúster de búsqueda.

Splunk ha lanzado actualizaciones de seguridad para corregir una vulnerabilidad crítica de Splunk Enterprise que podría permitir a un atacante ejecutar comandos del sistema operativo sin necesidad de iniciar sesión. Identificada como CVE-2026-76268, el fallo tiene una puntuación CVSS v3.1 de 9.8 y fue revelado el 7 de octubre de 2026.

Afecta a la API REST de Patroni en los miembros del clúster de cabeceras de búsqueda (search head cluster), donde la falta de autenticación deja expuestas operaciones de configuración críticas a atacantes con acceso a la red.

Splunk documenta el problema en el aviso de seguridad SVD-2026-1001. Las versiones de Splunk Enterprise en la rama 10.4 anteriores a la 10.4.3 y en la rama 10.2 anteriores a la 10.2.7 están afectadas.

El proveedor indica explícitamente que las versiones 10.0.x y 9.4.x no se ven afectadas por esta vulnerabilidad en particular, una distinción importante cuando revises el lanzamiento general de parches de octubre.

La debilidad proviene de una interfaz que no requiere autenticación antes de permitir cambios de configuración críticos. Un atacante que pueda alcanzar la API REST de Patroni en un miembro afectado del clúster de cabeceras de búsqueda podría usar ese acceso para ejecutar comandos controlados por el atacante en el host.

La vulnerabilidad está clasificada como CWE-306: Falta de Autenticación para una Función Crítica. El acceso a la red es el requisito clave. La divulgación no significa que todas las instalaciones de Splunk puedan ser atacadas directamente desde internet; la exposición depende de si un atacante puede alcanzar la interfaz afectada.

Sin embargo, no requiere privilegios de cuenta ni interacción del usuario. La puntuación publicada también califica la complejidad del ataque como baja, con un alto impacto potencial en la confidencialidad de los datos, la integridad y la disponibilidad del servicio.

Splunk corrige un fallo crítico

Splunk acredita a su investigador Gabriel Nitu el descubrimiento del problema internamente. El registro público explica la falta de autenticación, pero no proporciona una secuencia detallada de explotación. Su puntuación de severidad describe el riesgo potencial, en lugar de probar que los atacantes ya hayan utilizado el fallo contra sistemas reales.

Si administras ramas afectadas, debes actualizar a Splunk Enterprise 10.4.3 o 10.2.7, o versiones posteriores. Tu equipo debería comprobar la versión y la configuración de cada miembro relevante del clúster en lugar de tratar un único servidor actualizado como prueba de que todo el despliegue está protegido.

Para los despliegues que no puedan actualizarse inmediatamente, Splunk ofrece una solución temporal condicional: desactiva el sidecar de PostgreSQL si no utilizas Edge Processor, OpAmp y los pipelines de datos SPL2. Establece disabled = true en la estrofa [postgres] de $SPLUNK_HOME/etc/system/local/server.conf y luego reinicia Splunk Enterprise.

Debes revisar la documentación de configuración del sidecar enlazada antes de aplicar este cambio, ya que la solución depende de qué funciones utilice tu despliegue.

Splunk también publicó el SVD-2026-1002, que cubre debilidades identificadas internamente y corregidas en las versiones 10.4.3, 10.2.7, 10.0.10 y 9.4.15. Este aviso de endurecimiento agrupa los hallazgos bajo cinco identificadores CVE en lugar de describir un único fallo de ejecución de comandos. Su grupo de control de acceso independiente, CVE-2026-76281, también alcanza una puntuación máxima de 9.8.

La distinción es importante: las ramas más antiguas siguen formando parte del esfuerzo general de actualización aunque no estén afectadas por el CVE-2026-76268. También puedes revisar la cobertura anterior sobre una cadena de RCE de pre-autenticación de Splunk Enterprise y los parches de seguridad de agosto de Splunk para obtener contexto relacionado. Esos informes cubren fallos distintos y no deben tratarse como evidencia de explotación de este problema recién revelado.

Fuentes:
https://cybersecuritynews.com/splunk-patches-critical-flaw/