Splunkに脆弱性60件超、ログイン不要でログを覗かれる恐れ

トップ/記事一覧/Splunkに脆弱性60件超、ログイン不要でログを覗かれる恐れ

ニュース2026年6月11日公開最終更新 2026年8月20日

この記事のポイント

企業の監視・ログ基盤Splunkの深刻な脆弱性CVE-2026-20253（CVSS 9.8）が、実際の攻撃に悪用されていることが確認されました。米CISAは緊急の脆弱性カタログ（KEV）へ登録し対応を指示。ログインなしでサーバー上のファイルを破壊され、乗っ取りの足場にされる恐れがあります。Splunk Enterpriseは10.2.4／10.0.7以降へ今すぐ更新を。

企業のログ監視基盤として広く使われているSplunkが2026年8月19日、8本のセキュリティ情報をまとめて公開しました。中心となるSplunk Enterprise向けの1本だけで約60件の脆弱性を修正しており、最も危険度が高いものは10点満点で9.4。ログインしていない相手に、検索結果の保管場所ごと中身を持ち出されるという内容です。

Splunkは、サーバーやネットワーク機器が吐き出す動作記録（ログ）を1か所に集めて検索・監視するための製品です。国内でもトヨタシステムズ、パナソニックインフォメーションシステムズ、KDDI、オリンパスなどが導入事例として公開されており、社内の情報が集中する場所にあたります。攻撃を見張るための仕組みそのものが狙われるという位置づけの製品です。

この記事の要点

対象は自社で運用するSplunk Enterpriseほか。10.4.2 / 10.2.6 / 10.0.9 / 9.4.14以降へ更新する
危険度9.4は3件。いずれもログイン不要で成立する
2件は更新しただけでは直らず、設定ファイルの変更が別途必要
今回の分に攻撃されているという報告はありません。米CISAのKEVにも未収載
9.3系はすでにサポート終了（2026年7月24日）。修正の提供対象から外れている

2026年8月の修正で何が直ったのか

今回公開された8本は、製品ごとに分かれています。番号と中身の対応は次のとおりです。

番号	対象	最高の危険度
SVD-2026-0801	Splunk Enterprise 本体	9.4
SVD-2026-0802	Enterprise 同梱の外部部品	Critical
SVD-2026-0803	Universal Forwarder	Medium
SVD-2026-0804	Splunk SOAR	8.1
SVD-2026-0805	SOAR 同梱の外部部品	Critical
SVD-2026-0806	SOAR コネクター	6.6
SVD-2026-0807	Enterprise Security	8.1
SVD-2026-0808	アプリ・アドオン	9.1

CVE-2026-76310・CVE-2026-76311: 検索結果の保管場所を丸ごと取られる（9.4）

Splunkには、検索を実行した結果を一時的にため込む領域（dispatch）があります。この2件は、Webページに埋め込んだレポート用の合言葉（embedded report token）を持っているだけの相手が、ログインせずにその領域を丸ごとダウンロードできてしまうというものです。取り出した中には利用者のセッション情報まで含まれるため、そこから正規の利用者になりすます道もつながります。

レポートの埋め込みは、社内ポータルやダッシュボードにグラフを貼るときによく使われる機能です。埋め込みを使っていない環境であれば影響は小さくなりますが、使っている場合は、その合言葉が実質的な入場券になっていたことになります。

CVE-2026-76312: ページのソースを見られるだけで成立する（9.4）

同じくログイン不要です。Splunkのレポートを埋め込んだページのHTMLソースを読める相手が、そこから資産をダウンロードできるというもの。ソース表示は誰でもできる操作なので、埋め込み先のページが社外から見える場所にあると条件が整いやすくなります。この1件だけは修正版が10.4.1で、10.4系についてはすでに配布済みのバージョンで直っています。

CVE-2026-76404: 追加アプリ側でサーバー上のコマンドを実行される（9.1）

本体ではなく「Splunk MCP Server app」という追加アプリの問題です。管理者権限を持つ利用者が、Splunkが動いているサーバーのOS上で任意のコマンドを実行できてしまうもので、修正版は1.2.1。同じアプリ・アドオン向けの告知には、Splunk AI Toolkit（6.0.0 / 6.0.1）やSplunk Connect for Kafka（2.2.7）も含まれます。本体を最新にしても、追加アプリは別に上げないと残ります。

影響するバージョンと、直ったバージョン

Splunkの表記をそのまま写しています。

製品	影響する範囲	直ったバージョン
Splunk Enterprise 10.4	10.4.0 〜 10.4.1	10.4.2
Splunk Enterprise 10.2	10.2.0 〜 10.2.5	10.2.6
Splunk Enterprise 10.0	10.0.0 〜 10.0.8	10.0.9
Splunk Enterprise 9.4	9.4.0 〜 9.4.13	9.4.14
Universal Forwarder	本体と同じ番号	10.4.2 / 10.2.6 / 10.0.9 / 9.4.14
Splunk SOAR	8.6.0 未満	8.6.0
Enterprise Security	8.6.1 未満	8.6.1
Splunk Secure Gateway	下記未満	3.10.9 / 3.9.23 / 3.8.70 （一部は3.10.10 / 3.9.24 / 3.8.71）
Splunk MCP Server app	1.2.1 未満	1.2.1
Splunk AI Toolkit	6.0.0 / 6.0.1 未満	6.0.0 / 6.0.1
Splunk Connect for Kafka	2.2.7 未満	2.2.7

個別に例外があります。CVE-2026-76316（8.8）は10.4.1と10.2.5で直っており、CVE-2026-76259（8.8、Windows版のみ）は9.3.14も修正対象に挙がっています。CVE-2026-76262とCVE-2026-76355は10.4系だけの問題で、それより前のバージョンには影響しません。自社のバージョンが表の境目に近いときは、個別のCVE番号でSplunkの記載を確認してください。

今回の8本には、Splunk Cloud Platformについての記載がありません。従来の告知には「Splunk Cloud Platformを監視し順次修正している」という趣旨の文が入るのが通例でしたが、今回はその文がなく、対象バージョンの記載もありません。クラウド版を使っている場合、修正済みとも未修正とも公表資料からは判断できないため、Splunkへ直接確認するのが確実です。

更新だけでは直らない2件

見落とすと対処済みのつもりで穴が残ります。Splunkは「次のCVEには追加の手順が必要」と明記しています。

CVE-2026-76338 — 分散構成の全ノードで authentication.conf に strictPeerNameValidation = true を設定し、Splunk Enterpriseを再起動する
CVE-2026-76352 — 更新後に limits.conf の [lookup] セクションへ scripted_lookup_raw_write_enforcement = block を設定し、再起動する

SOAR側でもCVE-2026-76362に追加手順が必要とされています。分散構成では設定漏れのノードが1台あるだけで効果が落ちるため、適用対象の一覧を作ってから作業するのが安全です。

使っているバージョンを確認する

確認方法は4通りあります。

画面から見る — ヘルプメニューの「バージョン情報（About）」
コマンドで見る — $SPLUNK_HOME/bin/splunk -version
ファイルで見る — $SPLUNK_HOME/etc/splunk.version
台数が多いとき — 検索で | rest splunk_server=local count=1 /services/server/info | table version

サーチヘッドとインデクサーが分かれている構成では、まとめて棚卸しできる4番目が実用的です。Universal Forwarderは配布先の台数が多くなりがちなので、こちらも数を先に押さえておくと計画が立ちます。

攻撃されているのか

今回の8本については、悪用されたという記載はありません。Splunkの告知に「実際の攻撃を確認した」という趣旨の文はなく、米CISAの「悪用が確認された脆弱性カタログ」（KEV）にも、2026年8月19日版の時点でこれらの番号は1件も入っていません。掲載状況はCISA KEV ダッシュボード（日本語版）で追えます。

CVE-2026-20253: 2026年6月には実際に攻撃された

落ち着いて構えてよい一方で、Splunkは直近で一度攻撃されています。2026年6月に公開されたCVE-2026-20253（危険度9.8）は、ログインしていない相手にサーバー上のファイルを作成・切り詰めさせられるもので、Splunkは同年6月18日に告知を更新し、「限定的ながら悪用を確認した」と明らかにしました。CISAも同日、KEVへ追加しています。

このときの対象はSplunk Enterprise 10.2.0〜10.2.3（修正10.2.4）と10.0.0〜10.0.6（修正10.0.7）で、10.4系と9.4以前は対象外でした。今回の8月の更新まで進めば、この分もあわせて解消されます。まだ10.2.3以下や10.0.6以下で止まっている環境があるなら、そちらは「攻撃実績のある穴が開いたまま」という扱いになります。8月分より先に片付ける対象です。

サポートが切れたバージョン

Splunkのサポート方針では、各マイナーバージョンの提供期間はリリースから24か月です。今回関係する範囲は次のようになります。

バージョン	サポート終了
9.3	2026年7月24日（終了済み）
9.4	2026年12月16日
10.0	2027年7月28日
10.2	2028年1月15日
10.4	2028年5月18日

9.3系はすでに期限を過ぎています。今回のSplunk Enterprise向け告知の対象表にも9.3は載っておらず、個別のCVE説明に「9.3.14」という数字が出てくるだけです。9.3で動かしている環境は、今回の分がそもそも塞がらないという前提で、バージョンを上げる計画から立てる必要があります。9.4で運用している場合も残り4か月ほどなので、今回の更新と移行をまとめて考えたほうが手戻りが減ります。

いま何をすればいいか

まず現在のバージョンを棚卸しする。10.2.3以下・10.0.6以下があれば、攻撃実績のあるCVE-2026-20253が未対処なので最優先
Splunk Enterpriseを10.4.2 / 10.2.6 / 10.0.9 / 9.4.14以降へ上げる
CVE-2026-76338とCVE-2026-76352の設定変更を、分散構成の全ノードで実施して再起動する
SOAR（8.6.0）、Enterprise Security（8.6.1）、Secure Gateway、MCP Server app・AI Toolkit・Connect for Kafkaなどのアプリを個別に上げる
レポートの埋め込み機能を使っているなら、埋め込み先のページが社外から見える場所にないかを確認する
クラウド版を使っている場合は、今回の8本の適用状況をSplunkに確認する

なお、Splunkのセキュリティ情報は英語のみで公開されており、日本語版はありません。シスコによる買収完了（2024年3月18日）後もシスコのセキュリティ情報とは別系統で出されています。日本語で追う場合は、JPCERT/CCの週次レポートが各告知へのリンクを載せているほか、JVN iPediaに日本語の項目が数日から数週間遅れで載ります。2026年8月20日時点では、今回の分の日本語項目はまだ出ていません。

まとめ

危険度9.4の3件は、どれもログインを経由せずに成立する点が共通しています。レポートの埋め込みという、見た目には地味な機能が入口になっており、社内ポータルへグラフを貼っている環境ほど条件が整いやすくなります。

今回の分に攻撃の報告はありません。ただし2026年6月には実際に攻撃された前例があり、そのときの修正が済んでいない環境が残っている可能性もあります。バージョンの棚卸しを先にやれば、どちらの状況なのかがその場でわかります。更新だけでは直らない2件の設定変更まで含めて、ひとまとまりの作業として組んでください。