Splunk Enterpriseの脆弱性CVE-2026-20204
- カテゴリ
- 脆弱性の公表
Splunkの2026年4月15日のアドバイザリSVD-2026-0403によると、Splunk EnterpriseとSplunk Cloud Platformで、adminとpowerのロールを持たない低権限のユーザーが、悪意のあるファイルをアップロードしてリモートコード実行を行える可能性がある［1］。Splunk Cloud Platformのインスタンスには、Splunkが監視し、修正を適用している［1］。
脆弱性の内容
Splunkは、原因をapptempディレクトリ内の一時ファイルの不適切な扱いと不十分な分離と説明した［1］。アップロード先は$SPLUNK_HOME/var/run/splunk/apptempディレクトリである〔注3〕［1］。アドバイザリの謝辞の欄には、Splunk所属の研究者1名が挙がっている［1］。
時系列
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Splunk Enterprise 10.2 | 10.2.0 | 10.2.1〔注1〕 | ［1］ |
| Splunk Enterprise 10.0 | 10.0.0〜10.0.4 | 10.0.5 | ［1］ |
| Splunk Enterprise 9.4 | 9.4.0〜9.4.9 | 9.4.10 | ［1］ |
| Splunk Enterprise 9.3 | 9.3.0〜9.3.10 | 9.3.11 | ［1］ |
| Splunk Cloud Platform 10.4.2603 | 影響を受けない〔注2〕 | - | ［1］ |
| Splunk Cloud Platform 10.3.2512 | 10.3.2512.5より前 | 10.3.2512.5 | ［1］ |
| Splunk Cloud Platform 10.2.2510 | 10.2.2510.9より前 | 10.2.2510.9 | ［1］ |
| Splunk Cloud Platform 10.1.2507 | 10.1.2507.19より前 | 10.1.2507.19 | ［1］ |
| Splunk Cloud Platform 10.0.2503 | 10.0.2503.13より前 | 10.0.2503.13 | ［1］ |
| Splunk Cloud Platform 9.3.2411 | 9.3.2411.127より前 | 9.3.2411.127 | ［1］ |
悪用の状況
CISAはCVE記録に加えたSSVCの評価で、Exploitationをnone、Automatableをno、Technical Impactをtotalとした［2］。SecurityWeekは4月16日の記事で、Splunk Enterprise、Cloud Platform、MCP Serverと各製品の第三者パッケージの脆弱性の修正を伝え、Splunkはこれらの脆弱性が実環境で悪用されたとは述べていないと報じた［5］。
修正と回避策
Splunkはアドバイザリで、Splunk Enterpriseを表2の修正版かそれより新しい版へ更新する対策を示した［1］。脆弱性はSplunk Webを有効にしたインスタンスに影響し、Splunk Webを止めることが回避策になりうると説明した［1］。止める手順は、文書『Disable unnecessary Splunk Enterprise components』とweb.confの仕様の文書を参照するよう案内した［1］。
その文書によると、Splunk WebはSettings > Server settings > General settingsの「Run Splunk Web」をNoにして保存し、インスタンスを再起動すると止まる［8］。web.confの[settings]スタンザでstartwebserverを0かfalseにして止める方法もある［8］。この方法には、対象のマシンの管理者権限とコマンドラインの知識が要る［8］。
カナダサイバーセキュリティセンターは勧告AV26-356で、SplunkがSplunk Operator for Kubernetes Add-on、Splunk MCP Server、Splunk ITSI、Splunk Enterprise、Splunk Cloud Platformのアドバイザリを公開したと伝えた［4］。利用者と管理者には、リンク先を確認して更新を適用するよう勧めた［4］。
未公表の事項
- 悪用に要るファイルの種類と処理の流れ
- 悪用の有無についてのSplunkの説明
- 検知の方法と侵害の指標（Splunkはアドバイザリの検知の欄を「None」とした［1］）
- 影響を受けるインスタンスの数
- Splunk Cloud Platformのインスタンスへの修正の完了時期
注
出典
当事者
- ［1］Splunk Inc.『Improper Handling and Insufficient Isolation of Specific Temporary Files in Splunk Enterprise』（2026年4月15日公開）
公的機関
- ［2］CVE Program『CVE-2026-20204』（2026年4月15日公開、2026年4月16日更新）
- ［3］National Institute of Standards and Technology『CVE-2026-20204』（2026年4月15日公開、2026年10月26日更新）
- ［4］Canadian Centre for Cyber Security『Splunk security advisory (AV26-356)』（2026年4月15日公開）
報道機関
- ［5］Wired Business Media『Splunk Enterprise Update Patches Code Execution Vulnerability』（2026年4月16日公開）
背景資料
- ［8］Splunk Inc.『Disable unnecessary Splunk Enterprise components』（2026年9月9日公開）
- ［9］Splunk Inc.『Remote Code Execution through file upload to "$SPLUNK_HOME/var/run/splunk/apptemp" directory in Splunk Enterprise』（2025年3月26日公開）
更新記録
- 2026年4月18日：公開した。
- 2026年9月9日：Splunk Inc.の文書『Disable unnecessary Splunk Enterprise components』の9月9日の版（出典8）を加え、「修正と回避策」の節を改めた。
- 2026年10月26日：NVDのレコードの10月26日の更新（出典3）を「時系列」に加えた。