Splunk Sicherheitslücke CVE-2026-20253: Pre-Auth-RCE aktiv ausgenutzt

Die Splunk Sicherheitslücke CVE-2026-20253 sorgt derzeit für Alarm in IT-Abteilungen weltweit. Die kritische Schwachstelle in Splunk Enterprise erlaubt Angreifern eine Codeausführung, ganz ohne gültige Zugangsdaten. Die US-Cybersicherheitsbehörde CISA hat die Lücke bereits in ihren KEV-Katalog aufgenommen, weil aktive Angriffe laufen.

Was steckt hinter CVE-2026-20253?

Die Splunk Sicherheitslücke betrifft einen internen PostgreSQL-Sidecar-Dienst von Splunk Enterprise. Über einen ungeschützten Endpunkt können nicht authentifizierte Angreifer beliebige Dateien anlegen oder abschneiden. Sicherheitsforscher zeigten anschließend, wie sich dieser Fehler zu einer vollständigen Remote Code Execution vor der Anmeldung verketten lässt. Der CVSS-Score von 9,8 unterstreicht den Ernst der Lage.

Betroffen sind die Versionen 10.2.0 bis 10.2.3 sowie 10.0.0 bis 10.0.6. Splunk selbst bestätigte bereits im Juni 2026 eine begrenzte Ausnutzung in freier Wildbahn, kurz nachdem die Schwachstelle öffentlich bekannt wurde.

CISA setzt enge Frist

CISA nahm die Splunk Sicherheitslücke am 18. Juni 2026 in den Known Exploited Vulnerabilities Katalog auf und verpflichtete Bundesbehörden, bis zum 21. Juni zu patchen. Es ist die erste Splunk-Schwachstelle überhaupt auf dieser Liste. Das zeigt, wie ernst die Behörde die Bedrohungslage einschätzt – schließlich läuft Splunk in vielen Unternehmen als zentrales SIEM-System und verarbeitet hochsensible Sicherheitsdaten.

Wird ausgerechnet das Werkzeug kompromittiert, das eigentlich Angriffe erkennen soll, verlieren Sicherheitsteams genau dann die Übersicht, wenn sie sie am dringendsten brauchen. Erst vor wenigen Tagen hatte CISA aus ähnlichem Grund auch die SharePoint Sicherheitslücke CVE-2026-45659 in den KEV-Katalog aufgenommen – ein Muster, das sich 2026 durch viele KEV-Meldungen zieht.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

So schützt du dich vor der Splunk Sicherheitslücke

Die wichtigste Maßnahme ist ein zügiges Update. Splunk stellt gepatchte Versionen bereit: 10.2.4, 10.0.7 sowie 10.4.0 und höher. Wer nicht sofort patchen kann, sollte den betroffenen Endpunkt zumindest vom Internet abschotten und den Netzwerkzugriff auf vertrauenswürdige IP-Bereiche beschränken.

• Splunk Enterprise umgehend auf eine gepatchte Version aktualisieren
• Zugriff auf die Management-Oberfläche strikt auf interne Netze begrenzen
• Logs auf verdächtige Dateizugriffe im PostgreSQL-Sidecar-Dienst prüfen
• Vorhandene Splunk-Instanzen auf ungewöhnliche Prozesse und neue Nutzerkonten kontrollieren

Wer regelmäßige Backups pflegt, reduziert zudem das Risiko, dass ein erfolgreicher Angriff zum Totalausfall wird. Gerade bei kritischer Sicherheitsinfrastruktur lohnt sich eine zusätzliche, getrennte Datensicherung.

Fazit

Die Splunk Sicherheitslücke CVE-2026-20253 zeigt erneut, wie schnell aus einer Schwachstelle ein aktiver Angriff wird. Wer Splunk Enterprise betreibt, sollte die betroffenen Versionen umgehend prüfen und patchen. Angesichts der zentralen Rolle von Splunk in vielen Security-Stacks ist Abwarten keine Option.

Quellen:

• BleepingComputer: CISA – Splunk Enterprise flaw actively exploited, patch by Sunday
• CISA: Adds One Known Exploited Vulnerability to Catalog
• Splunk Security Advisory SVD-2026-0603
• The Hacker News: Critical Splunk Enterprise Flaw Lets Attackers Run Code Without Authentication