Splunk Enterpriseの脆弱性CVE-2026-20253の悪用
Splunkの2026年6月10日のアドバイザリによると、Splunk EnterpriseのPostgreSQLサイドカーサービスのエンドポイントを通じて、未認証の利用者が任意のファイルを作成または切り詰めることができた［1］。Splunkが6月18日に改訂したアドバイザリには、PSIRTが6月に限定的な悪用を認知したとある［1］。米国のCISAも同じ日に、この脆弱性をKEVカタログに加えた［2、3］。
脆弱性の内容
| 項目 | 値 | 資料 |
|---|---|---|
| CVE | CVE-2026-20253（SplunkのアドバイザリSVD-2026-0603、Bug ID VULN-67169） | ［1］ |
| CVSS | 9.8（Critical。SplunkによるCVSSv3.1の評価、ベクトルはCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H） | ［1］ |
| CWE | CWE-306 | ［1］ |
| SSVC | Exploitationがactive、Automatableがyes、Technical Impactがtotal（CISAのADPの評価） | ［2］ |
Splunkは、このエンドポイントに認証の制御が無く、ネットワークから到達できる利用者が資格情報なしでファイル操作を呼び出せることを原因に挙げた［1］。
watchTowr Labsの6月12日の解析では、splunk-postgresのバイナリ（Go製）は5435番ポートなどで待ち受けるが、ループバックのインターフェースにだけ結び付いている［4］。全インターフェースの8000番ポートで待ち受けるSplunkのWebアプリケーションは、ローカルのPostgreSQLのAPIへ要求を中継でき、空の資格情報で操作が通った［4］。/v1/postgres/recovery/backupのエンドポイントは、利用者が渡すbackupFileの引数を受け取ってファイルを作り、Authorizationヘッダに入れた利用者名をpg_dumpの-Uの引数にそのまま渡す［4］。
watchTowr Labsの解析によると、データベース名の引数に接続文字列を入れると-hの指定を上書きでき、Splunkを攻撃者のデータベースへ接続させられた［4］。/restoreのエンドポイントにpassfileの引数を入れてSplunkの.pgpassを指すと、PostgreSQLの利用者名postgres_adminが分かり、ローカルのデータベースに認証できる［4］。復元の処理ではlo_exportを使う関数が実行され、splunkユーザーとして任意の内容のファイルを書き込めた［4］。watchTowr Labsは、Splunkが頻繁に実行するPythonのスクリプトを上書きしてコード実行に至ったと書いた［4］。
watchTowr Labsは解析の題で、この脆弱性を認証前のリモートコード実行（Pre-Auth RCE）と呼んだ［4］。同社の検知用ツール「Detection Artefact Generator」は、任意の資格情報をAuthorizationヘッダに入れた要求への応答が400なら脆弱、401なら脆弱でないと判定する［4］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2025年 | Cisco（CNA） | CVE-2026-20253を予約した | ［2］ |
| 2026年 | Splunk | アドバイザリSVD-2026-0603を公開した | ［1］ |
| 2026年 | Cisco（CNA）、NVD | CVEのレコードとNVDのレコードを公開した | ［2、3］ |
| 2026年 | カナダ・サイバーセキュリティセンター | Splunkのアドバイザリについての注意喚起AV26-586を出した | ［7］ |
| 2026年 | Splunk | アドバイザリからSplunk Cloud Platformへの言及を削除した | ［1］ |
| 2026年 | watchTowr Labs | CVE-2026-20253の解析を公開した | ［4］ |
| 2026年 | Splunk | アドバイザリにPostgreSQLを無効にする緩和策を加え、製品の一覧に9.4と9.3を加えた | ［1］ |
| 2026年 | CrowdSec | 検知ルールを出した | ［9］ |
| 2026年 | Resecurity | CVE-2026-20253の悪用を追跡していると公表した | ［8］ |
| 2026年 | CrowdSec | 悪用の試行を初めて観測した | ［9］ |
| 2026年 | Splunk | アドバイザリに限定的な悪用の認知を加えた | ［1］ |
| 2026年 | CISA | KEVカタログに加えた | ［2、3］ |
| 2026年 | カナダ・サイバーセキュリティセンター | AV26-586のUpdate 1で、CISAによるKEVへの追加を追記した | ［7］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Splunk Enterprise 10.2 | 10.2.0〜10.2.3 | 10.2.4 | ［1］ |
| Splunk Enterprise 10.0 | 10.0.0〜10.0.6 | 10.0.7 | ［1］ |
| Splunk Enterprise 10.4 | 影響なし | 10.4.0 | ［1］ |
| Splunk Enterprise 9.4、9.3 | 影響なし | - | ［1］ |
| Splunk Cloud Platform | 影響なし | - | ［1］ |
Splunkはアドバイザリで、影響を受けるコンポーネントをsplunkdとし、9.4以前のマイナー版は影響を受けないと説明した［1］。Postgresのサイドカーは、Splunk Cloudでは使われていない［1］。
Splunkの管理マニュアルによると、Storageのサイドカー（プロセス名postgres、server.confの[postgres]）は、Splunk Enterpriseでは既定で有効、Splunk Cloud Platformでは既定で無効である〔注1〕［6］。
watchTowr Labsは解析で、手動で導入したWindows版では、PostgreSQLサイドカーサービスは既定で導入されないか、導入されても既定で有効でないと書いた［4］。AWS上のSplunk Enterpriseでは既定で導入・有効化されており、導入した直後から脆弱である［4］。サイドカーの概念はSplunk 10で導入されたと理解しているとも書いた［4］。
悪用の状況
CISAはKEVで、この脆弱性の名前を「Splunk Enterprise Missing Authentication for Critical Function Vulnerability」とした［3］。SecurityWeekは、CVE-2026-20253がKEVに加わった最初のSplunkの脆弱性だと報じた［10］。同じ記事は、CVE-2026-20253を使った攻撃についての公開情報は無いようだと書いた［10］。
CrowdSecの6月22日の報告では、悪用を試みる20の悪性IPアドレスが追跡の対象で、悪用の段階は「Early Exploitation」である［9］。SecurityOnlineとHelp Net Securityは、Nucleiのテンプレートが公開されていると報じた［5、11］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| 要求の形 | /splunkd/__raw/v1/postgres/recovery/backupに一致するエンドポイントへのPOST要求（BasicのAuthorizationヘッダを付けることが多い） | CrowdSec | ［9］ |
| 要求の中身 | パス・トラバーサルの文字列（../） | Resecurity | ［8］ |
| 要求の中身 | hostaddr=、dbname=、port=、passfile=などのPostgreSQLの接続パラメータ | Resecurity | ［8］ |
| プロセス | 想定外のpg_dump・pg_restoreの実行 | Resecurity | ［8］ |
| ファイル | 通常と異なる場所でのデータベースのダンプファイルの作成 | Resecurity | ［8］ |
| 通信 | Splunkのサービスから未知のPostgreSQLサーバーへの外向きの接続 | Resecurity | ［8］ |
修正と回避策
- Splunk Enterpriseを修正版に更新する〔注2〕［1］。
- 直ちに更新できない場合は、server.confにpostgresのスタンザを加えてPostgreSQLサイドカーサービスを無効にする［1］。
- 変更を反映するため、Splunk Enterpriseを再起動する［1］。
Splunkは修正版への更新を強く推奨した［1］。検索・インデックス・ダッシュボードの中核の機能は、PostgreSQLを無効にしても影響を受けない［1］。PostgreSQLサイドカーサービスを止めれば影響は無く、深刻度はinformationalになる［1］。
インスタンスでEdge Processor、OpAmp、SPL2のデータパイプラインを使う場合について、Splunkはこの回避策を適用しないよう求めた［1］。PostgreSQLの無効化はこれらの機能を壊し、依存するサイドカーのプロセスに波及しうると説明した［1］。
CISAがKEVに記した措置は、ベンダーの指示に従って緩和策を適用し、BOD 26-04と「Forensics Triage Requirements」に従うことである［3］。クラウドサービスにはBOD 26-04の該当する指針に従い、緩和策が無ければ製品の利用を中止するよう求め、期限を6月21日とした［3］。
未公表の事項
- Splunkが認知した悪用の経路と手口（watchTowr Labsの解析の手順と同じかどうか）
- 悪用の件数と、被害を受けた組織の数・業種
- 攻撃者
- Splunkが悪用を知った経緯と、CISAがKEVに加えた根拠
- インターネットから到達できるインスタンスの数
注
出典
当事者
- ［1］Splunk Inc.『Unauthenticated Arbitrary File Creation and Truncation in a PostgreSQL Sidecar Service Endpoint in Splunk Enterprise』（2026年6月10日公開、2026年6月18日更新）
公的機関
- ［2］CVE Program『CVE-2026-20253』（2026年6月10日公開、2026年6月19日更新）
- ［3］National Institute of Standards and Technology『CVE-2026-20253』（2026年6月10日公開、2026年7月23日更新）
- ［7］Canadian Centre for Cyber Security『Splunk security advisory (AV26-586) – Update 1』（2026年6月10日公開、2026年6月18日更新）
調査・観測
- ［4］watchTowr Pte. Ltd.『Why Use App-Level Auth When Every Database Has Auth? (Splunk Enterprise CVE-2026-20253 Pre-Auth RCE)』（2026年6月12日公開、2026年6月18日更新）
- ［8］Resecurity, Inc.『CVE-2026-20253: Splunk Enterprise Pre-Authentication Remote Code Execution』（2026年6月16日公開）
- ［9］CrowdSec SAS『CVE-2026-20253: Splunk Authentication Bypass Exploited』（2026年6月22日公開、2026年10月27日更新）
報道機関
- ［5］Daily CyberSecurity『Splunk CVE-2026-20253: CVSS 9.8 RCE Exploited in the Wild』（2026年6月18日公開）
- ［10］SecurityWeek『Splunk Enterprise Vulnerability Exploited in Attacks Days After Disclosure』（2026年6月19日公開）
- ［11］Help Net Security『Unauthenticated RCE in Splunk Enterprise under active attack (CVE-2026-20253)』（2026年6月19日公開）
背景資料
- ［6］Splunk Inc.『Sidecar configuration settings』（公開日不明、2026年11月4日閲覧、2026年8月7日更新）
- ［12］Splunk Inc.『Welcome to Splunk Enterprise 10.0』（2025年7月28日公開）
更新記録
- 2026年6月12日：公開した。
- 2026年6月15日：Splunkのアドバイザリの6月15日の改訂（出典1）で加わったPostgreSQLの無効化の緩和策を「修正と回避策」に、9.4と9.3の記載を「対象の製品と版」に加えた。
- 2026年6月16日：Resecurityの報告（出典8）を加え、悪用の追跡の公表を「時系列」に、悪用の兆候を「悪用の状況」に加えた。
- 2026年6月18日：Splunkのアドバイザリの6月18日の改訂（出典1）で加わった限定的な悪用の認知をリードと「時系列」に、カナダ・サイバーセキュリティセンターの注意喚起の6月18日の更新（出典7）を「時系列」に、Daily CyberSecurityの記事（出典5）を「悪用の状況」に加え、watchTowr Labsの6月18日の更新（出典4）に合わせて「脆弱性の内容」を改めた。
- 2026年6月19日：CVEのレコードの6月19日の更新（出典2）で示されたKEVへの追加とSSVCの評価をリード・「時系列」・「脆弱性の内容」に、SecurityWeekの記事（出典10）とHelp Net Securityの記事（出典11）を「悪用の状況」に加えた。
- 2026年6月22日：CrowdSecの報告（出典9）で示された検知ルールと悪用の試行の初観測を「時系列」に、追跡するIPアドレスの数と要求の形を「悪用の状況」に加えた。
- 2026年7月23日：NVDのレコードの7月23日の更新（出典3）で示されたKEVの脆弱性名を「悪用の状況」に、要求された措置と期限を「修正と回避策」に加えた。
- 2026年8月7日：Splunkの管理マニュアルの8月7日の更新（出典6）で示されたサイドカーの既定の設定を「対象の製品と版」と注に加えた。
- 2026年10月27日：CrowdSecの報告の10月27日の更新（出典9）に合わせて「悪用の状況」を改めた。