חולשה קריטית ב-Splunk Enterprise מנוצלת בתקיפות, ו-CISA הוסיפה אותה לקטלוג
ב-18 ביוני 2026 אישרה Splunk ניצול מוגבל של CVE-2026-20253, חולשה בציון 9.8 שמאפשרת לכתוב קבצים בלי סיסמה. CISA הוסיפה אותה באותו יום לקטלוג החולשות המנוצלות.
TL;DR בקצרה
- CVE-2026-20253 בציון 9.8 פוגעת ב-Splunk Enterprise 10.2.0 עד 10.2.3 וב-10.0.0 עד 10.0.6.
- נקודת קצה של שירות PostgreSQL מסייע לא בודקת הרשאות, ולכן מי שמגיע אליה ברשת יכול ליצור או לרוקן קבצים.
- ב-18 ביוני Splunk אישרה ניצול מוגבל, ו-CISA הוסיפה את החולשה לקטלוג KEV באותו יום.
- התיקון הוא גרסה 10.2.4 או 10.0.7. אם אי אפשר לעדכן, אפשר לכבות את שירות ה-PostgreSQL, אבל זה שובר חלק מהתכונות.
Splunk עדכנה ב-18 ביוני 2026 את ההודעה על CVE-2026-20253 ב-Splunk Enterprise, ואישרה ניצול מוגבל בפועל. באותו יום הוסיפה CISA את החולשה לקטלוג החולשות המנוצלות (KEV). הציון שלה הוא 9.8 מתוך 10, והתוקף לא צריך סיסמה. היא פוגעת בגרסאות 10.2 ו-10.0.
איך הפרצה ב-Splunk Enterprise מאפשרת לכתוב קבצים בלי סיסמה
Splunk Enterprise היא פלטפורמה לאיסוף וניתוח יומנים. צוותי אבטחה ו-IT משתמשים בה כדי לראות מה קורה ברשת. בגרסאות החדשות פועל לצד המערכת שירות עזר של PostgreSQL, שנקרא sidecar.
לפי Splunk, נקודת הקצה של השירות הזה לא בודקת הרשאות. כל מי שמגיע אליה ברשת יכול להפעיל פעולות על קבצים בלי הזדהות. הוא יכול ליצור קובץ או לרוקן אותו.
ההודעה של Splunk מ-10 ביוני תיארה רק את זה. ב-12 ביוני פרסמה חברת המחקר watchTowr ניתוח שמראה דרך להרצת קוד. השירות מאזין רק לכתובת המקומית 127.0.0.1. אבל ממשק ה-Web הראשי של Splunk, בפורט 8000, מעביר אליו בקשות. לכן הוא נגיש מהרשת.
החוקרים שרשרו כמה צעדים. קודם כתבו קובץ בנתיב שבחרו. אחר כך הפנו את השירות לשרת PostgreSQL שלהם. בשלב האחרון הפעילו שחזור של מסד נתונים זדוני. הוא כתב קוד במקום סקריפט ש-Splunk מריצה לעתים קרובות. כך הם הריצו קוד כמשתמש splunk.
watchTowr לא פרסמה כלי ניצול מלא. היא פרסמה כלי בדיקה שמזהה אם נקודת הקצה נגישה. BleepingComputer מתאר את הפרסום כקוד הוכחה לניצול. בכל מקרה, הניתוח הטכני פומבי.
אילו גרסאות של Splunk Enterprise פגיעות ומה התיקון
לפי ההודעה של Splunk, הגרסאות הפגיעות הן 10.2.0 עד 10.2.3, וגם 10.0.0 עד 10.0.6. הגרסאות המתוקנות הן 10.2.4 ו-10.0.7. גרסאות 9.4 ו-9.3 אינן פגיעות, וגם 10.4 מופיעה בטבלה של Splunk כגרסה שאינה פגיעה.
Splunk Cloud אינה פגיעה, לפי העדכון שאליו מפנה watchTowr. בהתקנות של Splunk Enterprise על AWS ה-sidecar מותקן ופעיל כברירת מחדל, ולדברי החוקרים הן פגיעות מהקופסה. בהתקנה ידנית ב-Windows השירות לא פעיל כברירת מחדל.
אם אי אפשר לעדכן מיד, Splunk מציעה לכבות את השירות. מוסיפים לקובץ server.conf בתיקיית system/local את הקטע [postgres] עם השורה disabled = true, ומפעילים מחדש. אל תעשו זאת אם אתם משתמשים ב-Edge Processor, ב-OpAmp או ב-SPL2, כי הכיבוי שובר אותם.
ציר הזמן: מההודעה ב-10 ביוני ועד קטלוג CISA
Splunk פרסמה את ההודעה SVD-2026-0603 ב-10 ביוני. watchTowr פרסמה את הניתוח שלה ב-12 ביוני. ב-18 ביוני הודיעה Splunk שצוות ה-PSIRT שלה יודע על ניצול מוגבל. באותו יום CISA הוסיפה את החולשה לקטלוג.
לפי BleepingComputer, CISA חייבה סוכנויות פדרליות בארה״ב לתקן עד יום ראשון, 21 ביוני. החובה חלה רק עליהן, אבל CISA ממליצה לכל ארגון לנהל חולשות לפי סיכון. לפי נתוני Shadowserver, יש כ-1,400 מופעים של Splunk חשופים לאינטרנט: 952 בצפון אמריקה ו-223 באירופה. אין נתון כמה מהם פגיעים.
מה זה אומר עבורכם
- בדקו גרסה: Splunk Enterprise מ-10.2.0 עד 10.2.3, או מ-10.0.0 עד 10.0.6, פגיעה.
- עדכנו: עברו ל-10.2.4 או ל-10.0.7. Splunk מציינת גם את 10.4.0 כיעד שדרוג.
- אין זמן לעדכן? כבו את ה-sidecar: השתמשו בהגדרה ב-server.conf, אלא אם יש לכם Edge Processor, OpAmp או SPL2.
- אל תחשפו את Splunk Web: ממשק ה-Web משמש כמעבר לשירות הפגיע, ולכן הגבילו אותו לרשת פנימית.
- חפשו סימני ניצול: בדקו את הסקריפט ssg_enable_modular_input.py ואת יומני הגישה לכתובות /v1/postgres/recovery. זה הניצול שהדגימה watchTowr, ולא בהכרח מה שהתוקפים עושים.
מקורות והרחבה
- SVD-2026-0603: Unauthenticated Arbitrary File Operations in Splunk Enterprise (CVE-2026-20253)Splunk
- CISA Adds One Known Exploited Vulnerability to CatalogCISA
- Why Use App-Level Auth When Every Database Has Auth? Splunk Enterprise CVE-2026-20253 Pre-Auth RCEwatchTowr
- CISA: Splunk Enterprise flaw actively exploited, patch by SundayBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
