Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en productos de Splunk

Resumen de la alerta

Splunk ha publicado actualizaciones de seguridad para corregir varias vulnerabilidades críticas que afectan a Splunk Enterprise y Splunk SOAR. Los problemas incluyen fallos de control de acceso, neutralización inadecuada de entradas, exposición de archivos o directorios a terceros y vulnerabilidades en componentes de terceros.

INCIBE-CERT identifica el aviso como INCIBE-2026-765 y clasifica las vulnerabilidades recogidas como críticas. Según la información disponible, no existe explotación conocida de los CVE incluidos en el aviso. No obstante, las organizaciones con versiones afectadas deberían priorizar la actualización a las versiones corregidas publicadas por Splunk.

Recursos afectados

El aviso afecta a las siguientes versiones:

• Splunk Enterprise: 10.4.0 a 10.4.3.
• Splunk Enterprise: 10.2.0 a 10.2.7.
• Splunk Enterprise: 10.0.0 a 10.0.10.
• Splunk Enterprise: 9.4.0 a 9.4.15.
• Splunk SOAR: versiones anteriores a 8.7.0.

En la rama Splunk Enterprise 9.4.x no está presente el servicio PostgreSQL afectado por algunas de las vulnerabilidades de componentes de terceros incluidas en los boletines de seguridad.

Descripción de las vulnerabilidades

Los boletines publicados por Splunk agrupan vulnerabilidades de distinta naturaleza en sus plataformas de análisis, gestión de eventos y automatización de respuesta.

• CVE-2026-76299: vulnerabilidad de control de acceso inadecuado en Splunk Enterprise. Este tipo de fallo puede provocar que los mecanismos destinados a limitar el acceso a recursos o funcionalidades no se apliquen correctamente.
• CVE-2026-76302: vulnerabilidad de neutralización inadecuada de entradas en Splunk Enterprise. Los errores de este tipo se producen cuando la aplicación no trata adecuadamente determinados datos recibidos antes de procesarlos.
• CVE-2026-76407: vulnerabilidad de control de acceso inadecuado en Splunk SOAR.
• CVE-2026-76531: vulnerabilidad relacionada con archivos o directorios accesibles a terceros en Splunk SOAR.

El aviso también incluye vulnerabilidades críticas asociadas a componentes de terceros en Splunk Enterprise: CVE-2025-61726, CVE-2025-61731, CVE-2025-61732, CVE-2025-68119, CVE-2025-68121, CVE-2026-25679, CVE-2026-27137, CVE-2026-27140, CVE-2026-27141, CVE-2026-27143, CVE-2026-27144, CVE-2026-32280, CVE-2026-32281, CVE-2026-32283, CVE-2026-33186, CVE-2026-39821, CVE-2026-39830, CVE-2026-39831, CVE-2026-39832, CVE-2026-39833, CVE-2026-39834, CVE-2026-42508 y CVE-2026-46595.

Impacto y nivel de riesgo

La severidad indicada para los CVE incluidos en el aviso es crítica. Los fallos de control de acceso pueden afectar a la protección de recursos y funciones que deberían estar restringidos. Por su parte, una neutralización insuficiente de entradas puede permitir que datos especialmente preparados sean procesados de forma no prevista por la aplicación.

En Splunk SOAR, la exposición de archivos o directorios a terceros puede implicar un acceso no deseado a recursos que deberían permanecer adecuadamente protegidos. La fuente no detalla las condiciones necesarias para explotar cada vulnerabilidad ni concreta consecuencias técnicas adicionales, por lo que no deben asumirse escenarios más específicos.

INCIBE-CERT indica “Explotación: No” para todos los CVE relacionados en el aviso. Esto significa que no se ha informado de explotación conocida de estas vulnerabilidades; no implica que el riesgo potencial desaparezca para las organizaciones que mantengan versiones afectadas.

Solución y medidas recomendadas

La medida oficial es actualizar los productos afectados a las versiones corregidas correspondientes:

• Actualizar Splunk Enterprise a la versión aplicable a cada rama: 10.4.4, 10.2.8, 10.0.11 o 9.4.16, o a una versión posterior.
• Actualizar Splunk SOAR a la versión 8.7.0 o posterior.

Las organizaciones deben planificar la actualización conforme a sus procedimientos internos de gestión de cambios, teniendo en cuenta la relevancia operativa de Splunk Enterprise y Splunk SOAR en las funciones de monitorización, respuesta y análisis de seguridad.

Recomendaciones para organizaciones afectadas

1. Identificar las instancias de Splunk Enterprise y Splunk SOAR desplegadas, así como la versión instalada en cada una de ellas.
2. Priorizar la actualización de los sistemas incluidos en los rangos afectados a las versiones corregidas indicadas por Splunk.
3. Considerar específicamente la situación de las instalaciones Splunk Enterprise 9.4.x, teniendo en cuenta que el servicio PostgreSQL afectado por algunas vulnerabilidades de terceros no está presente en esa rama.
4. Verificar, tras la actualización, que las plataformas continúan operando correctamente y que la versión instalada corresponde a una versión corregida o posterior.
5. Mantener el seguimiento de los boletines de seguridad de Splunk para conocer posibles actualizaciones adicionales relacionadas con los componentes afectados.