Splunk Enterprise の Patroni REST API に認証が無く未認証でOSコマンド実行（CVSS 9.8）

Critical（CVSS 9.8）に分類されるSplunk（Cisco） Splunk Enterprise 10.4.0〜10.4.2 / 10.2.0〜10.2.6（サーチヘッドクラスタ構成）の脆弱性です。ログ分析基盤 Splunk Enterprise の 10.4.3 より前（10.4 系）と 10.2.7 より前（10.2 系）で、**サーチヘッドクラスタのメンバーが持つ Patroni の REST API に認証が無く**、その API にネットワークで届く**未認証の攻撃者が任意の OS コマンドを実行できる**。Patroni は Splunk の PostgreSQL サイドカー（内部の PostgreSQL を管理する仕組み）が使う管理用インターフェイスで、重要な設定操作に認証を求めていないことが原因とされる。10.0.x と 9.4.x は対象外。 CVSS 3.1 は CNA（Cisco PSIRT）の評価で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。NVD は 2026年10月7日公開で、vulnStatus は Received（NVD 独自の採点は未付与）。 Splunk の 2026年10月7日のアドバイザリ SVD-2026-1001 は17件をまとめて扱っており、Critical はこの1件だけ（ほかは High 1件・Medium 15件）。2026年10月8日時点で CISA KEV には収載されておらず、アドバイザリにも悪用の記載は無い。

**Splunk Enterprise を修正版へ更新する。** アドバイザリの修正版は 10.4 系が 10.4.3、10.2 系が 10.2.7（同じアドバイザリの他の CVE 向けに 10.0.10 / 9.4.15 も出ているが、本件は 10.0.x と 9.4.x は対象外）。 **更新までの緩和策（公式）。** Edge Processor・OpAmp・SPL2 のデータパイプラインを使っていない場合は、`server.conf` の `[postgres]` スタンザに `disabled = true` を設定して PostgreSQL サイドカーを止め、Splunk を再起動する。これらの機能を使っている環境ではこの緩和策は取れないので、更新を優先する。あわせて、サーチヘッドクラスタのメンバー間以外から Patroni の REST API に届かないようにネットワークを絞る（これは公式の緩和策ではなく一般的な到達経路の削減）。 **影響を受けるかの確認**は、`splunk version` で版を見て 10.4.0〜10.4.2 または 10.2.0〜10.2.6 で、かつサーチヘッドクラスタを構成しているかどうか。Splunk Cloud Platform がこの CVE の対象かどうかはアドバイザリに明記が無い（公式で要確認）。 **完了条件**は、（1）サーチヘッドクラスタの全メンバーが 10.4.3 / 10.2.7 以上であること、（2）更新できないメンバーではサイドカー無効化の緩和策を入れていること、の2点である。

Splunk（Cisco） Splunk Enterprise 10.4.0〜10.4.2 / 10.2.0〜10.2.6（サーチヘッドクラスタ構成） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-76268）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。