監視ツールSplunkの脆弱性CVE-2026-20253に実際の攻撃、ログインなしでサーバー乗っ取り 緊急更新を

社内のあらゆる動作記録を集めて監視する「ログ基盤」の代表格Splunkに見つかった深刻な脆弱性が、いま実際の攻撃に使われています──企業向け監視プラットフォームの定番 Splunk（スプランク） の CVE-2026-20253（CVSS 9.8、Critical）は、ログインしていない相手でもサーバー上のファイルを勝手に作成・破壊できる穴です。米国の政府サイバー機関CISAは2026年6月18日、これを「実際に攻撃が確認された脆弱性」として緊急の対応を指示しました。攻撃を再現する実証コード（PoC）もすでに公開されています。

同時に公開された CVE-2026-20251（CVSS 8.8、High）は、一般権限のアカウントしか持たない利用者が、スマホ連携機能に保存されたデータの復元処理を突いてサーバーを乗っ取れる問題です。Splunkは、サーバーやアプリが残す大量のログ（動作記録）を一カ所に集めて検索・監視・分析するソフトで、不正アクセスをいち早く見つけるセキュリティ監視（SIEM）の中核として、国内でも金融・通信・製造の多くの大企業が使っています。開発元のSplunk社は 2024年にCiscoが約280億ドルで買収 しており、NVD上のベンダー表記もCisco Systemsになっています。

いずれも修正版が出ており、Splunk Enterpriseは10.2.4または10.0.7以降への更新が急務です。すでに現実の攻撃が始まっている以上、悪用報告を待つ猶予はありません。Splunkの公式アドバイザリ（SVD-2026-0603） を確認のうえ、いますぐ対応してください。

Splunkとは何か、なぜ企業の心臓部なのか

Splunkは、社内のサーバー・ネットワーク機器・アプリが吐き出すログをまとめて取り込み、検索・可視化・アラートを行うプラットフォームです。「いつ・誰が・どこに・何をしたか」の記録が一カ所に集まるため、障害の原因調査やセキュリティ監視の土台になります。特にセキュリティ用途では、攻撃の兆候を検知する 国内大企業のセキュリティ運用 の中心に据えられていることが多く、いわば社内全体を見渡す「監視塔」の役割を担っています。

ここで効いてくるのが、「監視塔そのものが、社内のあらゆる秘密が通り過ぎる場所になっている」という点です。ログには、エラーに紛れ込んだパスワードやAPIキー、顧客とのやり取り、誰がどのシステムにアクセスしたかの監査記録が含まれます。攻撃者から見れば、個々のサーバーを一台ずつ攻めるより、それらが集約されたSplunkを一撃で押さえる方がはるかに効率的です。監視役のサーバーが乗っ取られれば、自分の侵入の痕跡を消すこともできてしまいます。

今回の2件は、その監視塔への入口を2方向から開けます。ひとつは 認証不要でネットワークから届くファイル操作（CVE-2026-20253）、もうひとつは 一般権限のアカウントからの乗っ取り（CVE-2026-20251）です。前者は外周に近い位置から、後者は内側に一歩入った相手が踏める経路で、守る側にとってはどちらも見過ごせません。

あなたの状況別、どこが危ないのか

「Splunkに脆弱性2件」と言っても、どの製品をどう使っているかで論点が変わります。先に切り分けます。

自社のサーバーでSplunk Enterpriseを動かしている企業は、自分でバージョンを上げる必要があります。クラウド版のSplunk Cloud Platformは、修正がSplunk側で順次適用される形ですが、自社のテナントが対象バージョンに上がっているかは確認しておくべきです。とりわけ、スマートフォン向けの「Splunk Mobile」と連携するための Splunk Secure Gateway を有効にしている環境は、CVE-2026-20251の直撃を受けます。

監視塔が乗っ取られた時、社内から消えるもの

Splunkは、社内のあらゆる記録を一手に集める「監視塔」です。その鍵がいくつか開いていた話を、攻撃者の側から見てみます。狙うのは抽象的な「ハッカー」ではありません。社内に入り込んだランサムウェアの実行役、持ち出しを企てる退職間際の元管理者、取引先を装う産業スパイ、一般社員アカウントしか持たない不満分子です。彼らが欲しがるのは、ログに紛れたパスワードやAPIキー、顧客とのやり取り、誰がいつ何にアクセスしたかの監査記録です。今回の2件を踏まれた瞬間、その監視塔の中身が読み出され、書き換えられ、自分の侵入の痕跡だけがきれいに消されます。

入口は2つです。CVE-2026-20253は、認証を持たない相手でも、内部の補助データベース（PostgreSQLサイドカー）経由でファイルを作成・切り詰めできる穴で、設定ファイルや起動スクリプトに手を入れれば監視基盤を攻撃の足場に変えられます。CVE-2026-20251は、一般権限のアカウントさえあれば、スマホ連携機能の復元処理を突いてサーバーを乗っ取れます。前者は外周近くから、後者は内側に一歩入った相手が踏む経路です。

怖いのは、Splunkが「攻撃を見張る側」だという点です。一般のサーバーが落ちれば誰かが気づきますが、見張り役を内側から握られると、攻撃者は都合の悪いログだけを消し、アラートを止め、何事もなかったように居座れます。

CVSS 9.8という数字は、技術的な深刻度の最大級を示すラベルにすぎません。セキュリティ運用チームにとって本当に失われるのは、侵入の証拠が攻撃者の手で消され、何を盗まれたのかすら永遠に分からなくなることです。城壁のどこが破られたかを知る望楼ごと、敵の手に渡ります。

2件のCVEを個別に見る、どこで何が起きるのか

深刻度の高い順に整理します。性質がまったく違う2件です。

CVE-2026-20253: ログインなしでサーバーのファイルを作成・破壊（認証の欠落）

CVE-2026-20253（CVSS 9.8）は、Splunkが内部で使う補助データベースサービス（PostgreSQLサイドカー）のエンドポイントに認証が掛かっていない問題（CWE-306、重要な機能における認証の欠落）です。ネットワークから届く相手なら、ログイン情報を一切持っていなくても、サーバー上の任意のファイルを作成したり、既存ファイルを切り詰めて中身を消したりできます。設定ファイルや証明書、起動スクリプトを破壊・改ざんされれば、Splunkの停止やさらなる侵入の足場づくりに直結します。認証不要（PR:N）・利用者操作不要（UI:N）でネットワーク越し（AV:N）に成立するため、4件の指標がすべて最悪寄りで、CVSSが9.8まで跳ね上がっています。

CVE-2026-20251: 一般権限のアカウントからサーバーを乗っ取り（安全でないデータ復元）

CVE-2026-20251（CVSS 8.8）は、スマホ連携機能 Splunk Secure Gateway が、設定値などを保存するKVストアのデータを jsonpickle というPythonライブラリで復元する際、安全でない方法を使っていた問題（CWE-502、信頼できないデータの復元）です。jsonpickleは保存したデータを元のオブジェクトに戻すときに任意のコードを走らせてしまう危険が知られており、細工したデータを仕込まれると復元のタイミングで攻撃者のプログラムが実行されます。管理者でも上位ロールでもない 一般権限の利用者でも実行できる点が厄介で、社内に普通のアカウントを1つ持つだけの相手にサーバー乗っ取りを許します。これは データ復元処理を悪用する「デシリアライゼーション」型の攻撃 の典型例です。

影響と対策 早見表

より深刻なCVE-2026-20253は、公開からわずか数日で現実の攻撃に使われ始めました。6月12日にWatchTowrが実証コード（PoC）を公開し、6月18日には CISA KEV（実際に攻撃が確認された脆弱性カタログ） へ登録されました。認証不要で技術的なハードルが低いだけに、エンタープライズ製品の重大な穴は公開後に悪用が加速する という典型パターンをそのままなぞっています。悪用はすでに始まっており、更新は一刻を争います。もう1件のCVE-2026-20251は現時点で単独の悪用報告こそ出ていませんが、同じ更新で同時に塞げます。

バージョン別、どこまで上げれば直るのか

修正版は出ています。下表のバージョン以降に更新すれば、該当する脆弱性は解消されます。複数の系統（メジャーバージョン）で修正が出ているので、いま使っている系統に合わせて選んでください。

自社運用のSplunk Enterpriseなら、最新の10.2.4、または長期サポート系統の10.0.7へ上げれば2件とも解消します。古い9.x系統を使い続けている場合も、CVE-2026-20251については9.4.12 / 9.3.13で修正が出ています。Splunk Secure Gatewayはアプリ単体でも更新できるので、本体の更新がすぐに難しい環境では、まずSecure Gatewayを3.10.6以降へ上げると、より深刻度の高い乗っ取り経路を先に塞げます。最新の対象バージョンは Splunkのアドバイザリ一覧 で確認してください。

同じ穴が、また開いた──jsonpickleの再発

今回のCVE-2026-20251には既視感があります。Splunk Secure Gatewayでは、2024年12月にも、まったく同じjsonpickleの安全でない復元処理による任意コード実行（CVE-2024-53247、CVSS 8.8）が修正されています。今回はそれと同じ製品・同じライブラリ・同じ攻撃クラス・同じ深刻度の脆弱性が、別の経路で再び見つかった形です。

jsonpickleは、PythonのオブジェクトをJSONとして保存し、あとで元に戻せる便利なライブラリですが、信頼できないデータを復元すると任意コードが走る危険 が以前から指摘されてきました。一度該当箇所を直しても、似た保存・復元処理が製品の別の場所に残っていれば、同じ型の穴がまた開きます。「保存したデータを元に戻す処理」は、入力を信頼した瞬間に乗っ取りの入口になるという教訓は、製品をまたいで繰り返し現れています。Secure Gatewayを業務で使っていない環境では、そもそもこのアプリを無効化しておくのも有効な防御です。

管理者がいま取るべき動き

優先順に整理します。Splunkを運用している組織が対象です。

1. Splunk Enterpriseを修正版へ更新。自社サーバーで動かしているなら、10.2.4または10.0.7以降へ上げれば2件とも解消します。これが本筋の対応です。

2. すぐ更新できないなら、Secure Gatewayを先に手当て。本体の更新に時間がかかる場合は、Splunk Secure Gatewayを3.10.6以降へ上げる、もしくはSplunk Mobile・Spacebridge・Mission Controlを使っていない環境では Secure Gatewayアプリを無効化 して、CVE-2026-20251の乗っ取り経路を塞いでください。

3. PostgreSQLサイドカーの到達範囲を確認。CVE-2026-20253は未認証でネットワークから届く相手が踏めます。Splunkの管理系ポートや内部サービスが、必要以上に広いネットワークから到達できる状態になっていないか、ファイアウォールとネットワーク分離を点検してください。

4. クラウド版利用者は適用状況を確認。Splunk Cloud Platformは原則Splunk側で更新されますが、自社テナントが対象バージョンに上がっているか、Splunkのセキュリティ情報 とサポート窓口で確認しておきましょう。

タイムライン

まとめ、攻撃を見張る監視塔そのものが狙われた

今回の2件で浮き彫りになったのは、社内のあらゆるログが集まるSplunkは、守りの要であると同時に、攻撃者にとって最も価値の高い標的でもあるという構図です。認証なしでファイルを壊せるCVE-2026-20253と、一般権限から乗っ取れるCVE-2026-20251は、性質こそ違えど、どちらも「監視役のサーバーを攻撃の足場に変える」入口になります。見張り役を奪われれば、被害の全容を知る手段ごと失われます。

やるべきことは明快です。Splunk Enterpriseを10.2.4または10.0.7以降へ更新すること、すぐに難しければSecure Gatewayの更新か無効化で乗っ取り経路を先に塞ぐこと、そして内部サービスの到達範囲を点検すること。jsonpickleによる乗っ取りが2年を経て再び現れたことは、一度直した型の穴でも油断できないことを示しています。CVE-2026-20253はすでに実際の攻撃に使われ、政府機関向けの対応期限も過ぎました。もはや「様子見」の段階ではなく、いますぐ更新するのが唯一の安全策です。

参照元

• ▸NVD - CVE-2026-20253（PostgreSQLサイドカーの認証欠落、未認証ファイル操作）
• ▸NVD - CVE-2026-20251（jsonpickleの安全でない復元、一般権限からのRCE）
• ▸Splunk - SVD-2026-0603（公式アドバイザリ、実悪用を受けた更新案内）
• ▸BleepingComputer - CISAが実悪用を確認、期限内の更新を要請（2026年6月）
• ▸Splunk Vulnerability Disclosure（公式セキュリティ情報）
• ▸Splunk Security Advisories Archive（アドバイザリ一覧）
• ▸Splunk - SVD-2024-1205（2024年のjsonpickle RCE、CVE-2024-53247）
• ▸jsonpickle - 信頼できないデータの復元に関するセキュリティ議論（Issue #335）
• ▸CWE-306 - 重要な機能における認証の欠落
• ▸CWE-502 - 信頼できないデータの復元（デシリアライゼーション）
• ▸Cisco - Splunk買収完了の発表（2024年3月）
• ▸CISA KEV カタログ