Splunkは2026年10月21日、Splunk SOARの脆弱性、安全強化、外部パッケージ更新に関する3件の情報を公開しました。安全強化の対象は8.7.0未満で、同社は8.7.0以上への更新を案内しています。認証済みの利用者が権限を超えて情報を得る恐れもあるため、導入版だけでなく、付与している権限の確認も必要です。
認証済み利用者による情報取得や権限取得の恐れ
脆弱性情報「SVD-2026-1010」には、脆弱性の識別番号であるCVEが7件掲載されています。外部から接続できるかどうかだけではなく、利用者の権限や、攻撃に必要な情報の有無で条件が異なります。
CVE-2026-76306は、Observer権限で他者の認証情報を推測できる恐れがある問題です。システム間の連携に使うREST APIのクエリフィルターが情報漏えいの経路となります。深刻度を示すCVSS v3.1の評価は7.5で、Highです。
CVE-2026-76307は、Users and Rolesの閲覧権限を持つ利用者が、管理者トークンを推測して管理者権限を得る恐れがあります。こちらの評価は7.2で、Highです。閲覧権限だけを与えている利用者も、確認対象から外さないことが重要です。
ほかにも、編集権限のない認証済み利用者への構成ファイルの漏えい、閲覧権限のないアプリの取得、REST API経由のライセンス変更につながる問題があります。アプリ文書を介して不正なスクリプトが動く格納型XSSは、悪用に利用者の操作が必要です。
認証前のREST API処理で暗号化認証情報が復号される恐れがあるCVE-2026-76406は、対象環境の暗号化認証情報を攻撃者が事前に持つ必要があります。7件のいずれにも緩和策・回避策の記載はありません。設定変更だけで対処できるとは判断せず、更新を軸に対応を検討します。
安全強化と外部パッケージ修正も8.7.0に
安全強化情報「SVD-2026-1011」は、Splunkが社内で発見した脆弱性を対象としています。弱点の種類を分けるCWE分類ごとにCVEが割り当てられ、各スコアは同じ分類に属する指摘の最高値です。
最高のCVSS v3.1スコアは9.9で、Criticalと評価されています。外部から参照可能なファイル・ディレクトリの問題や、最高スコア9.3とされたアクセス制御不備も含まれます。対象は8.7.0未満、修正版は8.7.0です。
外部パッケージの修正情報「SVD-2026-1012」では、8.7.0以上で複数の脆弱性を修正しています。High評価のPyJWT、protobuf、pillowなどが含まれ、更新先はそれぞれ2.13.0、6.33.6、12.3.0です。form-dataも4.0.6に更新されています。
日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: Splunk SOAR 8.7.0未満を利用している会社です。安全強化情報の対象であり、8.7.0以上への更新確認が必要です。
- 影響する: Splunk SOAR 8.7.0未満を利用し、Observer権限やUsers and Rolesの閲覧権限を利用者に付与している会社です。該当する2件の脆弱性では、その権限が悪用条件に含まれるため、特に確認が必要です。
- 影響しない: Splunk SOARを利用していない会社は、今回示された製品の更新対象ではありません。
- 影響しない: 8.7.0以上の環境は、安全強化情報が示す「8.7.0未満」という対象条件から外れます。ただし、これをほかの問題も含めた安全性の保証とは扱わないでください。
情シスが今日やること
- 今日中に、IT資産台帳や運用記録でSplunk SOARの導入有無と版を確認します。版が不明なら、運用担当者や委託先に確認を依頼します。発表には、版を確認する管理画面の場所は書かれていません。
- Users and Rolesの閲覧権限とObserver権限について、誰に付与しているかを運用担当者と確認します。管理画面内の具体的な確認経路は発表には書かれていません。確認した権限一覧を、セキュリティ担当者にも共有します。
- 8.7.0未満なら、運用担当者や委託先に8.7.0以上への更新計画を依頼します。今日中に対応責任者と実施候補日の確認を始め、利用部門には作業予定と業務への影響の確認を依頼します。発表に更新期限の記載はありません。
- 更新作業票には3件の情報番号を記録し、安全強化、7件の脆弱性、外部パッケージ修正を確認項目として分けます。更新後は適用版を記録し、作業完了を運用責任者へ報告します。
Splunk Enterpriseも利用している場合は、Splunk Enterpriseの安全対策更新、対象版と追加作業を確認も別途確認してください。
