Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en productos de Splunk

Resumen de la alerta

Splunk ha publicado correcciones para 22 vulnerabilidades que afectan a Splunk Enterprise y, en determinados casos, a Splunk Secure Gateway. El conjunto incluye 3 vulnerabilidades críticas, 3 de severidad alta y 16 de severidad media.

Los posibles impactos asociados abarcan ejecución remota de código, escalada de privilegios, acceso no autorizado a información, inyección SQL, Server-Side Request Forgery (SSRF) y denegación de servicio.

Entre las vulnerabilidades críticas se encuentra CVE-2026-76268, que podría permitir a un atacante remoto no autenticado ejecutar comandos del sistema operativo si dispone de acceso de red a la interfaz REST de Patroni en un miembro de un clúster de búsqueda. Según la información disponible, no se indica explotación conocida para las vulnerabilidades críticas identificadas.

Recursos afectados

Se ven afectadas las siguientes versiones de Splunk Enterprise:

• 10.4.0 a 10.4.2.
• 10.2.0 a 10.2.6.
• 10.0.0 a 10.0.9.
• 9.4.0 a 9.4.14.

También están afectadas, por determinadas vulnerabilidades, las versiones de Splunk Secure Gateway anteriores a:

• 3.10.11.
• 3.9.25.
• 3.8.72.

En el caso concreto de CVE-2026-76268, se ven afectadas las versiones de Splunk Enterprise anteriores a 10.4.3 y 10.2.7. Las ramas 10.0 y 9.4 no están afectadas por esta vulnerabilidad específica.

Descripción de las vulnerabilidades

Las vulnerabilidades publicadas afectan a distintos componentes y mecanismos de seguridad de los productos de Splunk. La información disponible detalla tres vulnerabilidades de severidad crítica:

• CVE-2026-76268: ausencia de autenticación en la API REST de Patroni. Un atacante remoto sin autenticación, con acceso de red a esta interfaz en un miembro de un clúster de búsqueda, podría ejecutar comandos del sistema operativo. La ausencia de autenticación implica que la interfaz afectada no exigiría validar previamente la identidad del solicitante.
• CVE-2026-76281: agrupa vulnerabilidades de control de acceso inadecuado detectadas durante pruebas internas de Splunk. Su explotación podría permitir el acceso a funciones o recursos para los que un atacante no dispone de autorización.
• CVE-2026-76284: agrupa vulnerabilidades relacionadas con una neutralización insuficiente de datos de entrada. La manipulación de información especialmente preparada podría alterar el comportamiento previsto de la aplicación.

El resto de vulnerabilidades incluidas en el aviso presenta severidad alta o media y podría dar lugar, según el caso, a acceso no autorizado, escalada de privilegios, inyección SQL, SSRF o denegación de servicio.

Impacto y nivel de riesgo

La prioridad de actualización es elevada, especialmente en entornos que operen clústeres de búsqueda de Splunk Enterprise o que expongan interfaces accesibles desde redes no confiables.

Una explotación satisfactoria podría permitir desde la ejecución de código o comandos en sistemas afectados hasta el acceso a recursos restringidos, la obtención de información no autorizada o la interrupción del servicio. El impacto concreto depende de la vulnerabilidad implicada y de la configuración y exposición del entorno afectado.

Para CVE-2026-76268, la fuente indica una condición relevante: el atacante debe contar con acceso de red a la interfaz REST de Patroni de un miembro del clúster de búsqueda. No se requiere autenticación para explotar el fallo descrito.

La información disponible clasifica CVE-2026-76268, CVE-2026-76281 y CVE-2026-76284 como críticas e indica “Explotación: No”. Por tanto, el aviso describe vulnerabilidades con impacto potencial significativo, pero no confirma ataques activos ni explotación conocida de estos CVE.

Solución y medidas recomendadas

La medida principal es actualizar Splunk Enterprise a una versión corregida dentro de la rama utilizada:

• 10.4.3 o posterior.
• 10.2.7 o posterior.
• 10.0.10 o posterior.
• 9.4.15 o posterior.

Para Splunk Secure Gateway, deben aplicarse las siguientes versiones, según corresponda:

• 3.10.11.
• 3.9.25.
• 3.8.72.

Splunk indica además que las vulnerabilidades CVE-2026-76264, CVE-2026-76265, CVE-2026-76272 y CVE-2026-76280 requieren medidas adicionales descritas por el fabricante. Estas actuaciones deben revisarse junto con la actualización correspondiente.

Recomendaciones para organizaciones afectadas

1. Identificar las instancias de Splunk Enterprise y Splunk Secure Gateway desplegadas, así como la versión instalada en cada una.
2. Priorizar la actualización de los sistemas situados en las ramas afectadas, especialmente aquellos que formen parte de clústeres de búsqueda.
3. Comprobar la exposición de red de las interfaces de administración y de la API REST de Patroni en los entornos afectados por CVE-2026-76268.
4. Aplicar las medidas adicionales indicadas por Splunk para CVE-2026-76264, CVE-2026-76265, CVE-2026-76272 y CVE-2026-76280.
5. Planificar la actualización conforme a los procedimientos internos de cambio y validar el funcionamiento de los servicios tras instalar las versiones corregidas.