Splunk vá 24 lỗ hổng bảo mật nghiêm trọng trong Enterprise và SOAR

• Cảnh báo khẩn cấp: Splunk đã phát hành bản vá cho 24 lỗ hổng bảo mật, trong đó có 4 lỗ hổng đạt mức độ nghiêm trọng (Critical) với điểm CVSS từ 9.3 đến 9.9.
• Phạm vi ảnh hưởng: Các lỗ hổng này tác động trực tiếp đến nền tảng Splunk Enterprise và Splunk SOAR, cho phép kẻ tấn công thực thi mã từ xa (RCE), chiếm quyền điều khiển hoặc gây từ chối dịch vụ (DoS).
• Khuyến nghị hành động: Quản trị viên hệ thống cần nâng cấp ngay lập tức lên các phiên bản Splunk Enterprise 10.4.4, 10.2.8, 10.0.11, 9.4.16 và Splunk SOAR 8.7.0 để giảm thiểu rủi ro bị khai thác.

Vào ngày 21 tháng 10 năm 2026, Splunk đã công bố một loạt các bản vá bảo mật nhằm giải quyết 24 lỗ hổng tồn tại trong các sản phẩm cốt lõi của hãng. Các lỗ hổng này bao gồm nhiều loại hình tấn công từ kiểm soát truy cập không hợp lệ, xử lý đầu vào sai lệch, cho đến các lỗi thực thi mã từ xa (RCE) và từ chối dịch vụ (DoS). Việc lỗ hổng CVE nghiêm trọng xuất hiện trong các hệ thống giám sát an ninh như Splunk đặt ra thách thức lớn cho các đội ngũ SOC, vì đây là nơi tập trung dữ liệu nhạy cảm của toàn bộ doanh nghiệp.

Phân tích các lỗ hổng nghiêm trọng (Critical Severity)

Nhóm nghiên cứu bảo mật đã xác định 4 lỗ hổng có mức độ nguy hiểm cao nhất, yêu cầu ưu tiên xử lý hàng đầu. Các lỗ hổng này chủ yếu liên quan đến việc kiểm soát truy cập không chặt chẽ và lỗi xử lý tài nguyên.

Đáng chú ý, CVE-2026-76531 trong Splunk SOAR cho phép kẻ tấn công truy cập vào các tệp tin hoặc thư mục nhạy cảm, trong khi CVE-2026-76299 và CVE-2026-76302 trong Splunk Enterprise tạo ra các kịch bản khai thác quyền truy cập hệ thống ở mức độ cao nhất.

Các lỗ hổng mức độ cao (High Severity) và rủi ro RCE

Ngoài các lỗ hổng nghiêm trọng, danh sách còn bao gồm nhiều lỗ hổng mức độ cao (High Severity) với điểm CVSS từ 7.2 đến 8.8. Đặc biệt, CVE-2026-76298 cho phép người dùng có đặc quyền thấp trích xuất mật khẩu superuser của PostgreSQL sidecar, từ đó thực thi các lệnh hệ điều hành trên các thành viên của cụm search head.

Một lỗ hổng khác là CVE-2026-76293 cũng tạo ra rủi ro RCE thông qua Splunk Web Manager XML, cho phép kẻ tấn công có quyền edit_manager_xml thực thi mã độc hại. Các lỗ hổng DoS như CVE-2026-76288 và CVE-2026-76290 có thể bị khai thác bởi người dùng không cần xác thực, gây gián đoạn dịch vụ thông qua các yêu cầu web được chế tạo đặc biệt.

Khuyến nghị phòng thủ và Hardening hệ thống

⚠️ Cảnh báo quan trọng: Việc trì hoãn cập nhật bản vá trong môi trường Splunk có thể dẫn đến rò rỉ dữ liệu log, làm suy yếu khả năng phát hiện mối đe dọa và gián đoạn các cuộc điều tra sự cố an ninh mạng.

• Nâng cấp phiên bản: Quản trị viên cần thực hiện quy trình nâng cấp lên các phiên bản an toàn nhất hiện có:
  • Splunk Enterprise: 10.4.4, 10.2.8, 10.0.11, hoặc 9.4.16.
  • Splunk SOAR: 8.7.0 hoặc cao hơn.
  • Splunk Secure Gateway: 3.10.12, 3.9.26, hoặc 3.8.73 (đối với CVE-2026-76292 và CVE-2026-76295).
• Giảm thiểu bề mặt tấn công: Nếu chưa thể áp dụng bản vá ngay lập tức, hãy cân nhắc vô hiệu hóa các tính năng không cần thiết như Splunk Web, Pipeline Builders, hoặc các thành phần PostgreSQL sidecar để ngăn chặn các vector tấn công tiềm ẩn.
• Kiểm soát truy cập: Rà soát lại các vai trò người dùng (user roles) và quyền hạn trong hệ thống để đảm bảo nguyên tắc đặc quyền tối thiểu (Least Privilege), ngăn chặn việc lạm dụng các lỗ hổng liên quan đến xác thực như CVE-2026-76287 hay CVE-2026-76294.

Việc thực hiện các biện pháp hardening này không chỉ giúp bảo vệ hệ thống khỏi các lỗ hổng đã biết mà còn tăng cường khả năng chống chịu trước các cuộc tấn công khai thác lỗ hổng zero-day trong tương lai. Các đội ngũ vận hành cần theo dõi sát sao các thông báo từ nhà cung cấp và tích hợp các chỉ số IOCs vào hệ thống SIEM để phát hiện sớm các dấu hiệu xâm nhập.