Alertă DNSC: Splunk Enterprise are vulnerabilitate critică

DNSC avertizează asupra vulnerabilității critice CVE-2026-20253 din Splunk Enterprise, care poate permite unui atacator neautentificat să opereze asupra fișierelor și, în anumite condiții, să ajungă la executare de cod.

Problema afectează un instrument folosit în infrastructuri sensibile

Splunk Enterprise este o platformă folosită de companii și instituții pentru colectarea, căutarea și analizarea jurnalelor tehnice. În practică, sistemul adună urmele digitale lăsate de servere, aplicații și echipamente de rețea, apoi le pune la dispoziția echipelor IT și de securitate.

O vulnerabilitate într-un asemenea produs nu are aceeași greutate ca o eroare într-o aplicație obișnuită. Splunk poate vedea detalii despre felul în care funcționează infrastructura unei organizații, de la alerte și evenimente tehnice până la comportamentul unor servicii interne. Din acest motiv, o breșă într-un astfel de software de securitate cibernetică poate deveni rapid un risc operațional major.

Conform avertizării DNSC, vulnerabilitatea permite operațiuni neautentificate asupra fișierelor. Furnizorul Splunk a publicat actualizări de securitate pentru remedierea problemei, iar administratorii sunt vizați direct de această alertă.

CVE-2026-20253 are scor critic, 9.8 din 10

Vulnerabilitatea este identificată ca CVE-2026-20253 și are un scor CVSS v3.1 de 9.8, nivel încadrat drept critic. Scorul CVSS este o metodă standard prin care industria securității evaluează gravitatea unei vulnerabilități. Un scor apropiat de 10 indică o problemă ușor de exploatat sau cu impact sever asupra confidențialității, integrității și disponibilității sistemelor.

Buletinul Splunk descrie problema ca o posibilitate de creare sau trunchiere arbitrară de fișiere printr-un endpoint al serviciului PostgreSQL sidecar. Mai simplu spus, o componentă auxiliară poate primi comenzi asupra fișierelor fără verificarea identității celui care le trimite, dacă atacatorul poate ajunge la acel serviciu prin rețea.

Pe aceeasi tema: Iranul taxează cablurile submarine din Ormuz și amenință Big Tech.

Această lipsă de autentificare este partea care ridică nivelul de risc. Nu este nevoie, în scenariul descris, de un cont valid în aplicație. Parolele puternice și autentificarea multifactor rămân măsuri necesare, dar ele nu compensează un serviciu vulnerabil expus și neactualizat.

Versiunile afectate și actualizările recomandate

Splunk indică drept afectate versiunile Splunk Enterprise 10.2.0 până la 10.2.3 și 10.0.0 până la 10.0.6. Versiunile 9.4 și anterioare sunt menționate ca neafectate pentru această vulnerabilitate. Remedierea este disponibilă în Splunk Enterprise 10.4.0, 10.2.4 și 10.0.7 sau versiuni mai noi.

Pentru organizațiile care nu pot instala imediat actualizarea, furnizorul menționează ca măsură de reducere a riscului dezactivarea serviciului PostgreSQL sidecar. Aceasta nu este, însă, o soluție care să înlocuiască patch-ul pe termen lung. Actualizarea rămâne măsura principală.

Splunk precizează că funcționalitățile de bază pentru căutare, indexare și dashboard-uri nu sunt afectate de dezactivarea serviciului respectiv. Chiar și așa, orice modificare de configurație într-un sistem de producție trebuie testată și documentată, mai ales în organizațiile unde Splunk este folosit pentru monitorizare continuă.

De ce riscul contează și pentru organizațiile din România

DNSC emite astfel de alerte deoarece vulnerabilitățile critice din produse enterprise pot afecta inclusiv companii, instituții și furnizori de servicii din România. Splunk Enterprise este întâlnit mai ales în medii unde monitorizarea tehnică are rol central: centre de operațiuni de securitate, rețele corporative, servicii cloud și infrastructuri cu multe aplicații interconectate.

Din arhiva blogului: Vulnerabilitatea digitală a României: de la TikTok la copii.

Pentru publicul larg, alerta nu cere o acțiune directă pe telefon sau laptop. Responsabilitatea revine administratorilor, echipelor de securitate și furnizorilor care operează astfel de sisteme. Impactul poate ajunge însă indirect la utilizatori dacă un serviciu folosit de aceștia depinde de o infrastructură vulnerabilă.

În România, multe organizații lucrează cu infrastructuri hibride, combinații de servere proprii, cloud și aplicații administrate de terți. Într-un astfel de mediu, inventarul exact al sistemelor devine esențial. O instanță Splunk uitată într-un mediu de test poate fi la fel de vulnerabilă ca una din producție.

Administratorii trebuie să verifice expunerea serviciilor

Primul pas este identificarea tuturor instanțelor Splunk Enterprise și verificarea versiunilor instalate. Apoi trebuie stabilit dacă serviciile asociate sunt accesibile din internet, din rețele interne largi sau doar din zone strict controlate de administrare.

După aplicarea actualizărilor, echipele IT ar trebui să analizeze jurnalele pentru semne de acces neobișnuit, modificări de fișiere sau activități care nu se potrivesc cu operațiunile normale. Patch-ul închide vulnerabilitatea cunoscută, dar nu răspunde automat la întrebarea dacă sistemul a fost atins înainte de remediere.

Produsele de monitorizare și securitate sunt ținte valoroase deoarece au vizibilitate asupra multor componente din rețea. Dacă un atacator compromite un astfel de nod, poate obține informații utile despre infrastructură sau poate încerca să își ascundă urmele. De aceea, actualizările pentru aceste instrumente trebuie tratate prioritar, nu amânate alături de mentenanța obișnuită.