Splunk dicht reeks kwetsbaarheden in Splunk Enterprise: update aanbevolen

Splunk heeft in oktober meerdere beveiligingslekken in Splunk Enterprise gerepareerd. De fixes zitten in versies 10.4.4, 10.2.8, 10.0.11 en 9.4.16. Het beveiligingsadvies verscheen op 21 oktober 2026 en kent een hoogste CVSS‑score van 8,8 (High). Updaten naar minimaal deze versies is de snelste en veiligste route. (advisory.splunk.com)

Wat is geraakt

• Aangevallen kan worden via verschillende REST‑API’s en Splunk Web. Denk aan onjuiste autorisatie in de Data Management REST API (waardoor gebruikers met specifieke rollen SPL2-previewjobs van anderen kunnen inzien of verwijderen) en DoS‑scenario’s via de JavaScript‑logger of de endpoint voor lookup‑tabellen. (advisory.splunk.com)
• De Edge Processor‑keten kreeg een fix voor ongeauthenticeerde package‑downloads die veel resources kunnen opsouperen. Ook is er een lek gedicht waarmee gebruikers met schedule_search risicovolle SPL‑commando’s in geplande searches konden uitvoeren. (advisory.splunk.com)
• In Splunk Secure Gateway (mobiele functionaliteit) was het mogelijk om via de KV‑Store‑API mobiele alertgegevens van andere gebruikers te lezen en filterrestricties te omzeilen door speciale karakters te misbruiken. Daar zijn updates voor uitgebracht. (advisory.splunk.com)
• Via de Splunk Web Manager‑XML‑configuratie kon onder voorwaarden willekeurige OS‑code worden uitgevoerd. Daarnaast konden laaggeprivilegieerde gebruikers knowledge‑objecten zoals field extractions verplaatsen naar apps waar zij geen toegang toe hebben, en sourcetype‑renames aanpassen buiten hun rechten om. (advisory.splunk.com)
• Een opvallende case: op search head clusters kon het superuser‑wachtwoord van de PostgreSQL “sidecar” worden afgeleid uit zoekjob‑logs. Daarmee werd OS‑code‑uitvoering als de Splunk‑gebruiker mogelijk. CVSS 8,8. (advisory.splunk.com)

Voor organisaties in Nederland
Het NCSC bevestigde op 28 oktober 2026 dat deze issues zijn verholpen in bovengenoemde releases en verwijst naar de Splunk‑adviezen. Handig als referentie bij interne risicoafweging en change‑planning. Prioriteit: Normaal. (advisories.ncsc.nl)

Aanbevolen acties

• Werk bij naar Splunk Enterprise 10.4.4, 10.2.8, 10.0.11 of 9.4.16 (of hoger). Controleer versies van alle search heads, indexers en deployers. (advisory.splunk.com)
• Gebruik je Edge Processor/Pipeline Builders? Schakel authenticatie in voor package‑downloads na de upgrade. Overweeg de app tijdelijk uit te zetten als noodmaatregel. (advisory.splunk.com)
• Gebruik je Splunk Secure Gateway (voor Splunk Mobile, Spacebridge of Mission Control)? Update ook SSG naar minimaal 3.10.12, 3.9.26 of 3.8.73. (advisory.splunk.com)
• Beperk machtigingen: herzie rollen met schedule_search en edit_manager_xml. Dit verlaagt de impact van misconfiguraties en toekomstige bugs. (advisory.splunk.com)
• Splunk Web niet nodig op een instantie? Overweeg het uit te zetten om DoS‑risico via het web‑component te reduceren. (advisory.splunk.com)
• Korte‑termijn‑workaround voor het sidecar‑risico als je niet direct kunt upgraden: schakel de PostgreSQL‑sidecar uit in server.conf. Let op: dit breekt Edge Processor, OpAmp en SPL2‑pipelines. Plan dit zorgvuldig. (advisory.splunk.com)

Waarom dit ertoe doet
Het pakket aan fixes raakt zowel beschikbaarheid (DoS), vertrouwelijkheid (datalek via mobiele alerts) als integriteit (RCE en risicovolle SPL). De combinatie van netwerktoegankelijke endpoints, krachtige zoekfunctionaliteit en brede inzet van Splunk in SOC’s en IT‑omgevingen maakt snelle patching cruciaal. Ook Cisco’s beleid na de overname is duidelijk: security‑fixes komen uitsluitend via officiële advisories — houd die pagina dus actief in de gaten. (help.splunk.com)

Concreet

• Plan een onderhoudsvenster deze week.
• Update naar de genoemde versies.
• Voer de genoemde hardening‑stappen door en herzie je rollen en apps.
• Monitor na de upgrade even extra op resource‑pieken en onverwachte foutmeldingen.

Met deze stappen verklein je het aanvalsoppervlak direct en borg je de stabiliteit van je Splunk‑omgeving. (advisory.splunk.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.