Splunkは2026年10月21日、Splunk Enterpriseの脆弱性対策と第三者パッケージの更新を公表しました。内部で発見した脆弱性の最高評価は9.9で、深刻度はCriticalです。本体の更新に加え、関連機能の設定や追加更新が必要な対策もあります。
内部発見の問題は4系列に修正版
内部発見の問題は、弱点の種類を示すCWEごとにまとめ、各グループに脆弱性の識別番号であるCVEを割り当てています。深刻さを数値で示すCVSS v3.1のSplunk評価では、アクセス制御の不備「CVE-2026-76299」と、不適切な無害化の問題「CVE-2026-76302」がいずれも9.9です。
この勧告で示された対象版と修正版は、次のとおりです。
- 10.4.0～10.4.3：10.4.4へ更新
- 10.2.0～10.2.7：10.2.8へ更新
- 10.0.0～10.0.10：10.0.11へ更新
- 9.4.0～9.4.15：9.4.16へ更新
第三者パッケージの勧告には、8種類の更新が掲載されています。postgres内のGoはgo1.26.3へ更新し、掲載された深刻度はCriticalです。golang-grpcは1.81.0へ、mongorestoreとmongodump内のgolang.org/x/cryptoは0.52.0へ、golang.org/x/netは0.55.0へ更新します。brace-expansionの5.0.9への更新はHighとされています。
日本での提供は発表には書かれていません。
別勧告の12件は、停止リスクと追加作業に注意
同日公表の別勧告には12件が掲載され、最高評価は8.8です。検索保護を回避して情報漏えいなどにつながる恐れがある「CVE-2026-76291」や、PostgreSQLの固定暗号鍵に関する「CVE-2026-76298」が含まれます。
運用への影響では、認証されていない相手からの単一の要求でWebが停止する恐れがある「CVE-2026-76288」に注意が必要です。この問題で停止したWebの復旧には、Enterpriseの再起動が必要とされています。
また、連続した未認証の要求で、サービスを利用できなくするDoSの恐れがある「CVE-2026-76290」は、本体更新だけでは対策が完了しません。更新後に既存のEdge Processor全台を準備し、パッケージ取得の認証を有効にしたうえで、Enterpriseを再起動する必要があります。
低権限の利用者が他人のモバイル通知を閲覧できる恐れがある「CVE-2026-76292」と、「CVE-2026-76295」にも追加対策があります。Splunk Secure Gatewayを、各系列の3.10.12、3.9.26、3.8.73以降へ更新する必要があります。
影響する会社・しない会社
- 影響する: Splunk Enterpriseの10.4.0～10.4.3、10.2.0～10.2.7、10.0.0～10.0.10、9.4.0～9.4.15を使う会社は、内部発見の問題への更新対象です。
- 影響する: CVE-2026-76290の対策対象で、既存のEdge Processorがある会社は、全台の準備と認証有効化を更新計画に含める必要があります。
- 影響しない: Splunk Enterprise 9.4.xにはpostgres serviceがないため、今回のpostgres内のパッケージ更新とは切り分けて確認できます。ただし、9.4系全体が今回の安全対策の対象外という意味ではありません。
脆弱性ごとの対象版は同じではありません。例えば、特定権限の利用者が任意のOSコマンドを実行できる恐れがある「CVE-2026-76293」は、10.4系では10.4.3未満が影響範囲です。10.4.3を使っていても、内部発見の問題では10.4.4への更新対象になる点を混同しないでください。
