Skip to content
Hacker Posts

Splunk : vague de correctifs, RCE et SSRF au programme (CERT-FR)

Le CERT-FR relaie une vague de correctifs Splunk (Enterprise, Add-on AWS, MCP Server) couvrant exécution de code à distance, SSRF, injection SQL et élévation de privilèges.

Publié le 2 min de lecture
cvesplunkalerte

Le CERT-FR a publié l'avis CERTFR-2026-AVI-1281 le 8 octobre, qui relaie les bulletins Splunk du 7 octobre (SVD-2026-1001 à SVD-2026-1005). Le lot est volumineux : il couvre notamment de l'exécution de code arbitraire à distance.

Produits et versions concernés

Versions corrigées (première version non vulnérable de chaque branche) :

  • Splunk Enterprise : 9.4.15, 10.0.10, 10.2.7, 10.4.3
  • Splunk Add-on for Amazon Web Services : 8.2.2
  • Splunk MCP Server : 1.2.1

Ce que permettent les failles

L'avis liste un éventail large de risques : exécution de code arbitraire à distance, SSRF, injection SQL, élévation de privilèges, contournement de la politique de sécurité, déni de service et atteinte à la confidentialité des données.

Les bulletins Splunk regroupent un grand nombre d'identifiants, dont beaucoup correspondent à des bibliothèques tierces embarquées (on retrouve des CVE 2025 aux côtés des CVE 2026). Pour la correspondance exacte entre CVE, composant et correctif, les bulletins de l'éditeur sont la référence :

État de l'exploitation

Le CERT-FR ne signale pas d'exploitation en cours, et aucun code d'exploitation public n'est mentionné à ce stade.

Que faire

  1. Mettez à jour Splunk Enterprise vers la version corrigée de votre branche (9.4.15, 10.0.10, 10.2.7 ou 10.4.3).
  2. Corrigez l'Add-on AWS (8.2.2) et, si vous l'exploitez, le MCP Server (1.2.1).
  3. Un SIEM est une cible de choix : il concentre des données sensibles et des identifiants d'intégration. Vérifiez l'exposition réseau de l'interface d'administration et des connecteurs après la mise à jour.

Contexte

Le composant à surveiller cette fois est le Splunk MCP Server : un serveur Model Context Protocol qui expose les données Splunk à des agents IA. Le voir entrer dans le cycle de correctifs de sécurité confirme que la surface d'attaque « IA agentique » sort du laboratoire pour rejoindre l'outillage d'exploitation standard — avec les mêmes exigences de mise à jour que le reste de la plateforme. Un SIEM compromis, c'est l'attaquant qui lit vos détections avant vous.

Articles liés