Falha crítica na Splunk está a ser explorada após divulgação

A Splunk confirmou a exploração ativa de uma vulnerabilidade crítica no Splunk Enterprise, identificada como CVE-2026-20253, apenas alguns dias após a divulgação pública da falha e da disponibilização de código de prova de conceito (PoC).

A vulnerabilidade afeta as versões anteriores à 10.2.4 da série 10.2 e anteriores à 10.0.7 da série 10.0 do Splunk Enterprise. A empresa disponibilizou correções de segurança a 10 de junho e recomenda a atualização imediata dos sistemas afetados.

Segundo a Splunk, a falha reside num endpoint do serviço PostgreSQL sidecar que não possui mecanismos adequados de autenticação. Esta deficiência permite que qualquer utilizador com acesso à rede execute operações de criação ou truncagem arbitrária de ficheiros sem necessidade de credenciais.

Embora a descrição inicial da vulnerabilidade se centrasse na manipulação de ficheiros, investigadores da empresa de cibersegurança WatchTowr demonstraram, dois dias após a divulgação da falha, que esta pode ser explorada para obtenção de execução remota de código sem autenticação, publicando detalhes técnicos e código de exploração.

A Splunk revelou que a sua equipa de resposta a incidentes de segurança tomou conhecimento, durante o mês de junho, de casos limitados de exploração da vulnerabilidade em ambiente real. No entanto, não foram divulgados detalhes sobre os atacantes envolvidos nem sobre os potenciais alvos das campanhas observadas.

Perante a gravidade da situação, a Agência de Cibersegurança e Segurança das Infraestruturas dos Estados Unidos (CISA) adicionou a vulnerabilidade ao catálogo de Vulnerabilidades Conhecidas como Exploradas (KEV) a 18 de junho. A entidade determinou que as agências federais norte-americanas deviam aplicar as correções até 21 de junho, um prazo de apenas três dias, refletindo a urgência associada ao risco. Esta é a primeira vulnerabilidade da Splunk a integrar o catálogo KEV da CISA, que reúne falhas comprovadamente exploradas por atacantes e consideradas prioritárias para mitigação.

Dada a ampla utilização do Splunk em ambientes empresariais para monitorização, análise de dados e operações de segurança, especialistas alertam que um número significativo de organizações poderá estar exposto caso não proceda rapidamente à atualização dos sistemas.