[TLP:CLEAR]
bollettino di sicurezza 2026/0256
Aggiornamenti Splunk Enterprise e SOAR
28-10-2026
splunk, splunk-soar, splunk-enterprise, remote-code-execution, denial-of-service, information-disclosure
descrizione
Splunk ha rilasciato aggiornamenti di sicurezza per sanare molteplici vulnerabilità nei prodotti Splunk SOAR e Splunk Enterprise.Le 31 vulnerabilità analizzate coprono le seguenti tipologie:
- Controlli di accesso inadeguati e autorizzazione mancante su endpoint REST API, scheduler di ricerche pianificate, download di app e gestione di field extraction, sourcetype renaming e Automation Broker
- Neutralizzazione impropria di input inclusa code injection via Manager XML e SPL injection in Splunk Secure Gateway
- Esposizione di informazioni sensibili tramite query filter REST API (hash di password, token di autenticazione, token amministrativi)
- Denial of service per consumo non controllato di risorse su endpoint REST e parsing di header HTTP
- File o directory accessibili a parti esterne (SOAR)
- Uso di chiave crittografica hard-coded nel servizio PostgreSQL sidecar di Splunk Enterprise
- Cross-Site Scripting (XSS) stored tramite documentazione delle app in SOAR
- Cross-Site Request Forgery (CSRF) su endpoint di gestione dei federated search provider
- Failure di meccanismi di protezione, gestione impropria del ciclo di vita delle risorse e gestione di condizioni eccezionali
- Protezione impropria di percorsi alternativi e uso di percorsi URL non canonici nelle decisioni di autorizzazione
15 CVE hanno priorità operativa critical.
Al momento della pubblicazione di questo bollettino, non risultano CVE nel catalogo CISA KEV, exploit in the wild o proof-of-concept pubblici.
note
Vettori di attacco e condizioni di sfruttamentoTutte le CVE con vettore CVSS disponibile sono sfruttabili via rete (AV:N); la maggior parte presenta la combinazione AV:N/AC:L/PR:L/UI:N: complessità bassa, utente autenticato a basso privilegio, nessuna interazione utente.
CVE-2026-76301, CVE-2026-76290 e CVE-2026-76288 non richiedono privilegi né interazione utente (PR:N, UI:N).
CVE-2026-76293 e CVE-2026-76307 richiedono privilegi elevati (PR:H).
CVE-2026-76306 presenta complessità di attacco elevata (AC:H).
CVE-2026-76406 presenta complessità elevata e non richiede privilegi (AC:H, PR:N).
CVE-2026-76303 presenta complessità elevata, richiede privilegi elevati e interazione dell'utente (AC:H, PR:H, UI:R).
CVE-2026-76297 presenta complessità elevata, non richiede privilegi ma richiede interazione dell'utente (AC:H, PR:N, UI:R).
CVE-2026-76407, CVE-2026-76408, CVE-2026-76527, CVE-2026-76528 e CVE-2026-76529 non dispongono di vettore CVSS.
Analisi delle prime 5 CVE con priorità operativa critical
CVE-2026-76531 (CVSS 9.9, S:C): file e directory di Splunk SOAR risultano accessibili a parti esterne per mancata restrizione del filesystem esposto; lo scope è modificato e l'impatto può estendersi oltre il componente vulnerabile, con compromissione completa di riservatezza, integrità e disponibilità.
CVE-2026-76302 (CVSS 9.9, S:C): neutralizzazione impropria in Splunk Enterprise (CWE-707); lo scope modificato consente all'impatto di propagarsi oltre il componente direttamente vulnerabile, con impatto pieno su C/I/A.
CVE-2026-76301 (CVSS 9.8): failure del meccanismo di protezione in Splunk Enterprise (CWE-693); sfruttabile senza autenticazione (PR:N) e senza interazione utente, con impatto critico su riservatezza, integrità e disponibilità.
CVE-2026-76299 (CVSS 9.9, S:C): controllo degli accessi inadeguato in Splunk Enterprise (CWE-284); lo scope modificato estende l'impatto oltre il componente vulnerabile, con compromissione completa di C/I/A.
CVE-2026-76291 (CVSS 8.8): un utente con la capability schedule_search può aggirare le salvaguardie SPL per i comandi rischiosi nelle ricerche pianificate, poiché lo scheduler non applica i controlli SPL alle ricerche schedulate, consentendo esecuzione di comandi SPL che alterano o divulgano dati o
CVE
| CVE | CVSS | EPSS | priority | 0-day |
|---|---|---|---|---|
| CVE-2026-76527 | 3.1: 9.8/critical | 0.431% | 37.40% | 15.5/critical | no |
| CVE-2026-76407 | 3.1: 9.8/critical | 0.429% | 37.20% | 15.5/critical | no |
| CVE-2026-76531 | 3.1: 9.9/critical | 0.407% | 34.96% | 15.4/critical | no |
| CVE-2026-76302 | 3.1: 9.9/critical | 0.400% | 34.14% | 15.3/critical | no |
| CVE-2026-76301 | 3.1: 9.8/critical | 0.382% | 32.24% | 14.9/critical | no |
| CVE-2026-76528 | 3.1: 9.8/critical | 0.362% | 30.03% | 14.6/critical | no |
| CVE-2026-76299 | 3.1: 9.9/critical | 0.329% | 26.01% | 14.1/critical | no |
| CVE-2026-76291 | 3.1: 8.8/high | 0.411% | 35.32% | 13.7/critical | no |
| CVE-2026-76526 | 3.1: 8.8/high | 0.358% | 29.50% | 13.0/critical | no |
| CVE-2026-76298 | 3.1: 8.8/high | 0.353% | 28.89% | 12.9/critical | no |
| CVE-2026-76300 | 3.1: 8.8/high | 0.351% | 28.72% | 12.9/critical | no |
| CVE-2026-76290 | 3.1: 7.5/high | 0.497% | 42.57% | 12.2/critical | no |
| CVE-2026-76288 | 3.1: 7.5/high | 0.472% | 40.77% | 12.1/critical | no |
| CVE-2026-76530 | 3.1: 8.8/high | 0.289% | 21.46% | 11.8/critical | no |
| CVE-2026-76293 | 3.1: 7.2/high | 0.470% | 40.59% | 11.6/critical | no |
| CVE-2026-76307 | 3.1: 7.2/high | 0.398% | 33.93% | 11.1/critical | no |
| CVE-2026-76289 | 3.1: 6.5/medium | 0.367% | 30.52% | 9.7/critical | no |
| CVE-2026-76292 | 3.1: 6.5/medium | 0.336% | 26.92% | 9.3/critical | no |
| CVE-2026-76305 | 3.1: 6.5/medium | 0.274% | 19.83% | 8.5/high | no |
| CVE-2026-76306 | 3.1: 7.5/high | 0.222% | 12.84% | 8.5/high | no |
| CVE-2026-76408 | 3.1: 9.8/critical | 0.170% | 6.40% | 8.5/high | no |
| CVE-2026-76529 | 3.1: 9.8/critical | 0.170% | 6.40% | 8.5/high | no |
| CVE-2026-76406 | 3.1: 5.9/medium | 0.321% | 25.12% | 8.3/high | no |
| CVE-2026-76303 | 3.1: 5.7/medium | 0.229% | 13.73% | 6.6/high | no |
| CVE-2026-76287 | 3.1: 5.4/medium | 0.213% | 11.59% | 5.9/medium | no |
| CVE-2026-76308 | 3.1: 6.5/medium | 0.174% | 6.91% | 5.8/medium | no |
| CVE-2026-76295 | 3.1: 4.3/medium | 0.274% | 19.81% | 5.6/medium | no |
| CVE-2026-76294 | 3.1: 4.3/medium | 0.267% | 18.80% | 5.5/medium | no |
| CVE-2026-76296 | 3.1: 4.3/medium | 0.205% | 10.46% | 4.5/medium | no |
| CVE-2026-76304 | 3.1: 4.3/medium | 0.162% | 5.32% | 3.4/medium | no |
| CVE-2026-76297 | 3.1: 4.2/medium | 0.107% | 1.15% | 1.3/low | no |
NOTA: Le vulnerabilità sono ordinate per priorità operativa, calcolata combinando la gravità teorica (CVSS) con la probabilità reale di sfruttamento (EPSS). Se il dato EPSS non è ancora disponibile, la priorità è calcolata sul solo score CVSS.
Approfondisci
elenco vulnerabilità
| CWE | descrizione |
|---|---|
| CWE-639 | Authorization Bypass Through User-Controlled Key |
| CWE-400 | Uncontrolled Resource Consumption |
| CWE-770 | Allocation of Resources Without Limits or Throttling |
| CWE-284 | Improper Access Control |
| CWE-862 | Missing Authorization |
| CWE-94 | Improper Control of Generation of Code ('Code Injection') |
| CWE-943 | Improper Neutralization of Special Elements in Data Query Logic |
| CWE-352 | Cross-Site Request Forgery (CSRF) |
| CWE-321 | Use of Hard-coded Cryptographic Key |
| CWE-664 | Improper Control of a Resource Through its Lifetime |
| CWE-693 | Protection Mechanism Failure |
| CWE-707 | Improper Neutralization |
| CWE-79 | Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') |
| CWE-200 | Exposure of Sensitive Information to an Unauthorized Actor |
| CWE-203 | Observable Discrepancy |
| CWE-703 | Improper Check or Handling of Exceptional Conditions |
| CWE-424 | Improper Protection of Alternate Path |
| CWE-647 | Use of Non-Canonical URL Paths for Authorization Decisions |
| CWE-552 | Files or Directories Accessible to External Parties |
prodotti impattati
| vendor | prodotto & versioni |
|---|---|
| Splunk |
splunk enterprise
|