Die Splunk Sicherheitslücke CVE-2026-20253 sorgt für Alarm: Angreifer nutzen die kritische Schwachstelle bereits aktiv aus. Splunk bewertet das Problem mit dem Höchstwert CVSS 9.8. Folglich sollten Administratoren jetzt sofort handeln und ihre Systeme aktualisieren.
Splunk Sicherheitslücke CVE-2026-20253 im Detail
Betroffen sind die Splunk-Enterprise-Versionen 10.2.0 bis 10.2.3 sowie 10.0.0 bis 10.0.6. Die Schwachstelle steckt in einem PostgreSQL-Sidecar-Service. Dieser Endpunkt prüft keine Authentifizierung. Dadurch kann ein Angreifer ohne gültige Zugangsdaten beliebige Dateien anlegen oder abschneiden.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Zunächst beschrieb Splunk das Problem nur als unauthentifiziertes Erstellen und Abschneiden von Dateien. Allerdings zeigte spätere Forschung, dass sich diese Primitive zu einer vollwertigen Remote-Code-Ausführung (RCE) verketten lässt. Am 12. Juni 2026 veröffentlichte das Team von WatchTowr einen technischen Bericht samt Proof-of-Concept-Code.
Warum die Lücke so gefährlich ist
Splunk läuft in vielen Unternehmen als zentrale Plattform für Log-Daten und Security-Monitoring. Ausgerechnet dieses System ist nun selbst angreifbar. Gelingt der Angriff, kann ein Eindringling Schadcode mit weitreichenden Rechten ausführen. Außerdem ist keine Anmeldung nötig, was die Hürde drastisch senkt.
Besonders brisant: Die Ausnutzung begann nur wenige Tage nach Veröffentlichung des Patches. Solche schnellen Angriffswellen kennt man bereits von anderen Zero-Days, etwa beim kürzlich aktiv ausgenutzten Chrome-Zero-Day CVE-2026-11645. Folglich bleibt nach einem Patch oft nur ein sehr kurzes Zeitfenster.
CISA ordnet sofortiges Patchen an
Die US-Behörde CISA nahm CVE-2026-20253 am 18. Juni 2026 in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) auf. Zudem verpflichtete sie Bundesbehörden, die Lücke umgehend zu schließen. Es ist die erste Splunk-Schwachstelle überhaupt auf dieser KEV-Liste. Diese Einstufung unterstreicht den Ernst der Lage.
So schützt du dich
Der wichtigste Schritt ist ein zügiges Update. Splunk stellt fehlerbereinigte Versionen bereit. Administratoren sollten daher auf eine der folgenden Versionen aktualisieren:
- Splunk Enterprise 10.2.4 oder neuer
- Splunk Enterprise 10.0.7 oder neuer
- Splunk Enterprise 10.4.0 oder neuer
Außerdem empfiehlt es sich, den Zugriff auf die Splunk-Management-Schnittstellen über das Netzwerk streng zu begrenzen. Ein Management-Port gehört niemals offen ins Internet. Zusätzlich sollten Teams ihre Logs auf verdächtige Dateioperationen prüfen. Schließlich ist eine schnelle Erkennung oft entscheidend, um Schaden zu begrenzen.
Fazit
Die Splunk Sicherheitslücke CVE-2026-20253 zeigt erneut, wie schnell aus einem Patch ein Wettlauf wird. Wer Splunk Enterprise einsetzt, sollte daher nicht zögern. Aktualisiere jetzt und überwache deine Systeme aufmerksam.
Quellen
- BleepingComputer: CISA – Splunk Enterprise flaw actively exploited
- SecurityWeek: Splunk Enterprise Vulnerability Exploited in Attacks
- CISA: Known Exploited Vulnerabilities Catalog
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden