Splunk Sicherheitslücke CVE-2026-20253: Pre-Auth-RCE aktiv ausgenutzt

Die Splunk Sicherheitslücke CVE-2026-20253 sorgt derzeit für Alarm in IT-Abteilungen weltweit. Die kritische Schwachstelle in Splunk Enterprise erlaubt Angreifern eine Codeausführung, ganz ohne gültige Zugangsdaten. Die US-Cybersicherheitsbehörde CISA hat die Lücke bereits in ihren KEV-Katalog aufgenommen, weil aktive Angriffe laufen.

Was steckt hinter CVE-2026-20253?

Die Splunk Sicherheitslücke betrifft einen internen PostgreSQL-Sidecar-Dienst von Splunk Enterprise. Über einen ungeschützten Endpunkt können nicht authentifizierte Angreifer beliebige Dateien anlegen oder abschneiden. Sicherheitsforscher zeigten anschließend, wie sich dieser Fehler zu einer vollständigen Remote Code Execution vor der Anmeldung verketten lässt. Der CVSS-Score von 9,8 unterstreicht den Ernst der Lage.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Betroffen sind die Versionen 10.2.0 bis 10.2.3 sowie 10.0.0 bis 10.0.6. Splunk selbst bestätigte bereits im Juni 2026 eine begrenzte Ausnutzung in freier Wildbahn, kurz nachdem die Schwachstelle öffentlich bekannt wurde.

CISA setzt enge Frist

CISA nahm die Splunk Sicherheitslücke am 18. Juni 2026 in den Known Exploited Vulnerabilities Katalog auf und verpflichtete Bundesbehörden, bis zum 21. Juni zu patchen. Es ist die erste Splunk-Schwachstelle überhaupt auf dieser Liste. Das zeigt, wie ernst die Behörde die Bedrohungslage einschätzt – schließlich läuft Splunk in vielen Unternehmen als zentrales SIEM-System und verarbeitet hochsensible Sicherheitsdaten.

Wird ausgerechnet das Werkzeug kompromittiert, das eigentlich Angriffe erkennen soll, verlieren Sicherheitsteams genau dann die Übersicht, wenn sie sie am dringendsten brauchen. Erst vor wenigen Tagen hatte CISA aus ähnlichem Grund auch die SharePoint Sicherheitslücke CVE-2026-45659 in den KEV-Katalog aufgenommen – ein Muster, das sich 2026 durch viele KEV-Meldungen zieht.

So schützt du dich vor der Splunk Sicherheitslücke

Die wichtigste Maßnahme ist ein zügiges Update. Splunk stellt gepatchte Versionen bereit: 10.2.4, 10.0.7 sowie 10.4.0 und höher. Wer nicht sofort patchen kann, sollte den betroffenen Endpunkt zumindest vom Internet abschotten und den Netzwerkzugriff auf vertrauenswürdige IP-Bereiche beschränken.

• Splunk Enterprise umgehend auf eine gepatchte Version aktualisieren
• Zugriff auf die Management-Oberfläche strikt auf interne Netze begrenzen
• Logs auf verdächtige Dateizugriffe im PostgreSQL-Sidecar-Dienst prüfen
• Vorhandene Splunk-Instanzen auf ungewöhnliche Prozesse und neue Nutzerkonten kontrollieren

Wer regelmäßige Backups pflegt, reduziert zudem das Risiko, dass ein erfolgreicher Angriff zum Totalausfall wird. Gerade bei kritischer Sicherheitsinfrastruktur lohnt sich eine zusätzliche, getrennte Datensicherung.

Fazit

Die Splunk Sicherheitslücke CVE-2026-20253 zeigt erneut, wie schnell aus einer Schwachstelle ein aktiver Angriff wird. Wer Splunk Enterprise betreibt, sollte die betroffenen Versionen umgehend prüfen und patchen. Angesichts der zentralen Rolle von Splunk in vielen Security-Stacks ist Abwarten keine Option.

Quellen:

• BleepingComputer: CISA – Splunk Enterprise flaw actively exploited, patch by Sunday
• CISA: Adds One Known Exploited Vulnerability to Catalog
• Splunk Security Advisory SVD-2026-0603
• The Hacker News: Critical Splunk Enterprise Flaw Lets Attackers Run Code Without Authentication