Venda de um exploit de 1 dia para Splunk Enterprise com Pre-Auth RCE

Apenas para fins informativos

Versões afetadas: Splunk Enterprise 10.2 abaixo de 10.2.4 e versão 10 abaixo de 10.0.7 Tipo de vulnerabilidade: Pre-Auth RCE Preço: US$ 5 milhões

O vendedor afirma estar vendendo um exploit de 1 dia para Splunk Enterprise CVE-2026-20253. A vulnerabilidade permite que um usuário não autenticado crie arquivos arbitrários através do ponto final do serviço sidecar PostgreSQL sem precisar de credenciais.

Segundo o autor, o problema afeta o Splunk Enterprise 10.2 até a versão 10.2.4, bem como a versão 10 até a versão 10.0.7. A vulnerabilidade é declarada como crítica, com uma classificação CVSS v3.1 de 9,8.

Uma pesquisa pública PoC/detector da watchTowr Labs já foi publicada para a vulnerabilidade.

Splunk Enterprise é uma plataforma corporativa para coletar, indexar e analisar dados de máquina, usada em cenários de registro, monitoramento, observabilidade e SIEM. A Splunk é um dos maiores players nesse segmento: segundo a IDC, a Splunk foi classificada como a primeira entre os fornecedores de SIEM por cinco anos consecutivos, a Gartner em 2025 incluiu a Splunk no Magic Quadrant para SIEM pela décima primeira vez e a 6sense estima a participação da Splunk na categoria SIEM em cerca de 45,9% e na categoria gerenciamento de logs em cerca de 8,4%. A escala de implementação também é significativa: antes da transação com a Cisco, a empresa relatou um ARR de US$ 4,2 bilhões, e a Reuters, citando a Morningstar, notou que mais de 90% das empresas Fortune 100 usam soluções Splunk; em março de 2024, a Cisco concluiu a compra da Splunk por US$ 28 bilhões.