Splunk : RCE et contournements critiques dans Enterprise et SOAR (AVI-1366)

Le CERT-FR a publié le 22 octobre l'avis CERTFR-2026-AVI-1366, qui relaie les bulletins de sécurité Splunk du 21 octobre (SVD-2026-1007 à SVD-2026-1012) pour Splunk Enterprise et Splunk SOAR. Plusieurs failles permettent une exécution de code à distance ou un contournement de la politique de sécurité ; les durcissements les plus graves sont notés CVSS 9.9 par l'éditeur. Correctif unique : mettre à jour.

Produits et versions affectés

Splunk Enterprise, branches concernées et premières versions corrigées :

• 9.4.0 à 9.4.15, corrigé en 9.4.16
• 10.0.0 à 10.0.10, corrigé en 10.0.11
• 10.2.0 à 10.2.7, corrigé en 10.2.8
• 10.4.0 à 10.4.3, corrigé en 10.4.4

Splunk SOAR : versions antérieures à 8.7.0, corrigé en 8.7.0. Pour les composants Splunk Secure Gateway, les versions corrigées sont 3.10.12, 3.9.26 et 3.8.73 (SVD-2026-1007).

Les failles à prioriser

Les bulletins de l'éditeur ne détaillent pas un score CVSS par CVE, mais fixent une sévérité et un vecteur maximal par bulletin :

• CVE-2026-76293 — exécution de code à distance via le parseur XML de Splunk Web Manager (bulletin SVD-2026-1007, sévérité « haute », CVSS maximal 8.8 sur le lot).
• SVD-2026-1008 (Splunk Enterprise) et SVD-2026-1011 (Splunk SOAR) — bulletins de durcissement classés critiques, CVSS 9.9. Côté Enterprise : CVE-2026-76299 à CVE-2026-76302. Côté SOAR : CVE-2026-76407, CVE-2026-76408 et CVE-2026-76526 à CVE-2026-76531.
• SVD-2026-1009 (Splunk Enterprise) — mises à jour de paquets tiers classées critiques (compilateur Go, grpc, golang.org/x/crypto et /x/net), corrigées dans les mêmes versions que ci-dessus.

Le bulletin SVD-2026-1007 couvre aussi un contournement d'autorisation sur l'API REST de gestion des données (CVE-2026-76287) et une injection SPL via Splunk Secure Gateway (CVE-2026-76295).

Statut d'exploitation

Ni l'avis du CERT-FR ni les bulletins Splunk ne mentionnent d'exploitation active, et aucune de ces CVE ne figurait au catalogue KEV de la CISA à la publication. Aucun PoC public n'est signalé. La mise à jour reste la seule mesure proposée.

Que faire

1. Identifiez votre branche (9.4, 10.0, 10.2, 10.4) et planifiez la montée vers la première version corrigée : 9.4.16, 10.0.11, 10.2.8 ou 10.4.4.
2. Priorisez les instances exposées — interfaces Splunk Web et Secure Gateway joignables depuis un réseau non fiable, à cause de la RCE Web Manager (CVE-2026-76293) et de l'injection SPL via Secure Gateway.
3. Mettez à jour Splunk SOAR en 8.7.0 : les deux durcissements CVSS 9.9 y touchent le contrôle d'accès et l'exposition de fichiers.
4. Si la mise à jour doit attendre, restreignez l'accès réseau aux interfaces d'administration et à l'API REST, et surveillez les requêtes anormales vers Splunk Web et l'API.

Contexte

Un SIEM est, par construction, un dépôt central de journaux, d'identifiants et d'intégrations vers tout le SI : une RCE non corrigée sur Splunk Web ou un contournement d'autorisation sur son API REST donne à un attaquant un point de vue — et souvent un point de pivot — sur l'ensemble de la supervision. Le lot d'octobre mélange des failles « maison » (SVD-2026-1007/1008) et une dette de paquets tiers (SVD-2026-1009) : traiter les deux dans la même fenêtre de maintenance évite de rouvrir le chantier dans deux semaines.