Splunk gehört zu den meistgenutzten Plattformen für Log-Management und Security-Monitoring – und ausgerechnet dort klafft nun eine kritische Lücke. Unter der Kennung CVE-2026-20253 können Angreifer ohne jede Anmeldung Schadcode auf verwundbaren Splunk-Enterprise-Servern ausführen. Die US-Sicherheitsbehörde CISA hat die Schwachstelle in ihren Katalog aktiv ausgenutzter Lücken aufgenommen und Bundesbehörden eine Frist zur Behebung gesetzt.
Worum es geht
Die Schwachstelle trägt einen CVSS-Score von 9.8 und gilt damit als kritisch. Ursache ist ein PostgreSQL-Sidecar-Dienst in Splunk Enterprise, dessen Endpunkt keinerlei Authentifizierung verlangt. Jeder Angreifer, der den Dienst über das Netzwerk erreichen kann, darf damit Dateioperationen auf dem darunterliegenden System auslösen – ganz ohne Zugangsdaten.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Technisch handelt es sich nicht um einen einzelnen Fehler, sondern um eine Kette mehrerer Schwächen: fehlende Authentifizierungsprüfungen, unzureichende Autorisierung, Path-Traversal und die unsichere Verarbeitung von durch den Nutzer übergebenen PostgreSQL-Parametern.
Wie der Angriff funktioniert
Die Angriffskette nutzt zwei Endpunkte des Sidecar-Dienstes aus. Über den /backup-Endpunkt platzieren Angreifer einen präparierten Datenbank-Dump auf dem Splunk-Dateisystem. Anschließend importiert der /restore-Endpunkt diesen manipulierten Dump – und löst dabei die Ausführung einer vom Angreifer erstellten Funktion aus.
Dabei kommt die PostgreSQL-Funktion lo_export zum Einsatz, eigentlich ein legitimes Mittel, um sogenannte Large Objects auf das Dateisystem zu schreiben. Im Angriffsfall überschreibt sie häufig ausgeführte interne Skripte mit einer schädlichen Nutzlast, etwa einem Python-Skript. So gelangt der Angreifer von einem ungeschützten Datenbank-Endpunkt zur vollständigen Codeausführung.
Betroffene Versionen
Verwundbar sind Splunk-Enterprise-Versionen unterhalb von 10.2.4 sowie unterhalb von 10.0.7. Splunk Cloud ist nach Herstellerangaben nicht betroffen. Wer eine On-Premise-Installation der älteren 10.0.x- oder 10.2.x-Zweige betreibt, sollte umgehend prüfen, ob ein Update aussteht.
Aktive Ausnutzung und CISA-Frist
Die Lücke ist nicht nur theoretischer Natur. CISA hat CVE-2026-20253 in den Known-Exploited-Vulnerabilities-Katalog (KEV) aufgenommen und US-Bundesbehörden angewiesen, bis zum 21. Juni 2026 Gegenmaßnahmen umzusetzen. Befeuert wird die Gefahr durch öffentlich verfügbare technische Analysen: Sicherheitsforscher von watchTowr veröffentlichten bereits am 12. Juni eine detaillierte Aufschlüsselung der Schwachstelle samt einer entschärften Variante eines Exploits.
Was jetzt zu tun ist
Die wichtigste Maßnahme ist das Einspielen der gepatchten Versionen 10.2.4 beziehungsweise 10.0.7 oder höher. Wo ein sofortiges Update nicht möglich ist, sollten Administratoren den Zugriff auf die betroffenen Sidecar-Endpunkte strikt auf vertrauenswürdige Netze beschränken und Splunk-Instanzen keinesfalls ungeschützt aus dem Internet erreichbar lassen. Da die Lücke aktiv ausgenutzt wird, empfiehlt sich zusätzlich eine Prüfung auf Kompromittierungsspuren – insbesondere unerwartete Änderungen an internen Skripten.
Quellen
- Help Net Security: Unauthenticated RCE in Splunk Enterprise under active attack (CVE-2026-20253)
- Orca Security: CVE-2026-20253 Splunk Enterprise RCE & File Operation Flaws
- NetSPI: CVE-2026-20253 Splunk Enterprise – Overview and Takeaways
- SOCRadar: CISA Warns of Actively Exploited Splunk Enterprise RCE
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden