Splunk AI Toolkitの脆弱性CVE-2026-20266
- タグ
- 国外
Splunkの2026年6月17日のアドバイザリによると、Splunk AI Toolkitの5.7.4未満では、「admin」ロールを持つユーザーが、Splunk Enterpriseのインスタンスが動くホストで任意のOSコマンドを実行しうる［1］。修正版の5.7.4は、アドバイザリより前の5月20日にSplunkbaseに掲載されていた［3］。
脆弱性の内容
SplunkのアドバイザリSVD-2026-0614によると、原因はbtool設定ヘルパーの安全でないシェル実行の形にある［1］。このヘルパーは動的なパラメータからOSコマンドの文字列を組み立て、シェルの解釈を無効にしていない［1］。謝辞には、Splunkに所属する報告者の名前が挙がっている［1］。
Splunkは同時に公開したSVD-2026-0613で、既定のドメイン許可リストの不備によるCVE-2026-20265も公表した［2］。「admin」「power」のロールを持たない低権限のユーザーが、AI Toolkitに攻撃者の管理するサーバーへHTTPの外向きの要求をさせることができ、データの持ち出しに至りうる〔注1〕［2］。許可リストは、AIエージェントの外向きの要求を承認済みの外部ドメインに限っていない［2］。
| 項目 | CVE-2026-20266 | CVE-2026-20265 | 資料 |
|---|---|---|---|
| アドバイザリ | SVD-2026-0614 | SVD-2026-0613 | ［1、2］ |
| CVSS v3.1（Splunkの評価） | 9.1（Critical） | 4.3（Medium） | ［1、2］ |
| ベクトル | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N | ［1、2］ |
| CWE | CWE-78 | CWE-1188 | ［1、2］ |
| CISAのSSVCの評価 | Exploitation: none、Automatable: no、Technical Impact: total | Exploitation: none、Automatable: no、Technical Impact: partial | ［4、5］ |
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2025年 | - | CVE-2026-20266の番号が予約された | ［4］ |
| 2026年 | Splunk | SVD-2026-0613とSVD-2026-0614を公開した | ［1、2］ |
| 2026年 | CVE Program | 2件のCVE記録を公開した（割当元はCisco） | ［4、5］ |
| 2026年 | CISA | CVE記録にSSVCの評価を加えた | ［4、5］ |
| 2026年 | NVD | CVE-2026-20266を公開した | ［6］ |
| 2026年 | CERT-FR | CERTFR-2026-AVI-0774を出し、リスクを「セキュリティポリシーの迂回」と「遠隔からの任意のコード実行」とした | ［7］ |
| 2026年 | NVD | CVE-2026-20266の記録を更新した（状態はAnalyzed） | ［6］ |
対象の製品と版
SplunkはSVD-2026-0613・0614のどちらでも、影響を受ける版を5.7系の5.7.4未満とし、修正版を5.7.4とした［1、2］。製品の旧称はSplunk Machine Learning Toolkit（MLTK）で［9］、5.6.3でSplunk AI Toolkitに改称された［10］。
修正と回避策
Splunkは両方のアドバイザリで、AI Toolkitを5.7.4以上に更新するよう求めた［1、2］。Splunkは5.7.4の文書で、この版にはPSCアドオンの4.3.2が要ると説明した［11］。
CVE-2026-20266の緩和策・回避策として、SplunkはAI Toolkitのアンインストールを挙げた［1］。CVE-2026-20265の緩和策としては、設定ファイルの変更と、変えられない場合の無効化か削除を示した［2］。
- local/mlspl.confの[ai:AllowedDomains]スタンザで、allowed_domainsに承認済みのドメインの一覧を明示する［2］。
- 同じスタンザのenforce_domain_validationがtrueであることを確かめる［2］。
- この設定を変えられない場合は、AI Toolkitを無効にするか削除する［2］。
enforce_domain_validationがfalseのとき、AI Toolkitはドメインの一覧を無視し、エージェントは任意のドメインに接続できる［2］。
別の事象として、Splunkは8月19日のSVD-2026-0808で、AI Toolkitの別の脆弱性9件を公表した［12］。このアドバイザリ（10月7日更新）で、Splunkは5.7系の修正版を6.0.0とした［12］。
未公表の事項
注
- 〔注1〕SecurityWeekは6月18日の記事で、悪用しうるのは「adminかpowerのロールを持つ攻撃者」と報じた［8］。
出典
当事者
- ［1］Splunk Inc.『OS Command Injection in the btool Configuration Helper in Splunk AI Toolkit』（2026年6月17日公開）
- ［2］Splunk Inc.『Insecure Default Domain Allowlist in Splunk AI Toolkit』（2026年6月17日公開）
- ［3］Splunk Inc.『Splunk AI Toolkit』（2026年5月20日公開）
公的機関
- ［4］CVE Program『CVE-2026-20266』（2026年6月17日公開）
- ［5］CVE Program『CVE-2026-20265』（2026年6月17日公開）
- ［6］National Institute of Standards and Technology『CVE-2026-20266』（2026年6月17日公開、2026年10月26日更新）
- ［7］Agence nationale de la sécurité des systèmes d'information『Multiples vulnérabilités dans Splunk AI Toolkit』（2026年6月18日公開）
報道機関
- ［8］Wired Business Media『Atlassian, Splunk Patch Critical Vulnerabilities』（2026年6月18日公開）
背景資料
- ［9］Splunk Inc.『Release history for the AI Toolkit』（2026年8月5日公開）
- ［10］Splunk Inc.『AI Toolkit』（公開日不明、2026年11月7日閲覧）
- ［11］Splunk Inc.『What's new in the AI Toolkit』（2026年5月20日公開）
- ［12］Splunk Inc.『Security Vulnerabilities in Splunk Apps and Add-ons - August 2026』（2026年8月19日公開、2026年10月7日更新）
更新記録
- 2026年6月19日：公開した。
- 2026年8月5日：Splunkの製品の沿革の文書（出典9）を加え、「対象の製品と版」に旧称を記した。
- 2026年8月19日：SplunkのSVD-2026-0808（出典12）で公表されたAI Toolkitの別の脆弱性を「修正と回避策」に加えた。
- 2026年10月7日：SVD-2026-0808の10月7日の更新（出典12）にある5.7系の修正版を「修正と回避策」に加えた。
- 2026年10月26日：NVDの記録の10月26日の更新（出典6）を「時系列」に加えた。