#Netzwerk & Sicherheit · 3 Min. Lesezeit · Tim Rinkel

SPLUNK-GAU! Kritische 9.8-Lücke macht JETZT deinen Log-Server ohne Passwort zur Hacker-Beute

SPLUNK-GAU! Kritische 9.8-Lücke macht JETZT deinen Log-Server ohne Passwort zur Hacker-Beute

Wer seine Logs mit Splunk sammelt, sollte heute keinen Kaffee trinken, bevor der Server gepatcht ist. In Splunk Enterprise klafft eine kritische Lücke, durch die ein Angreifer ganz ohne Login Schadcode ausführen kann. Die Schwachstelle trägt die Kennung CVE-2026-20253 und den Höchstwert-nahen Score CVSS 9.8. Schlimmer noch: Sie wird bereits aktiv ausgenutzt, und die US-Behörde CISA hat eine Frist bis zum 21. Juni gesetzt.

GEFAHR: Eine Tür ohne Schloss

Das Problem steckt in einem Hilfsdienst, dem sogenannten PostgreSQL-Sidecar von Splunk. Dieser Dienst nimmt über bestimmte Endpunkte Datei-Befehle entgegen — und prüft dabei nicht, ob der Anrufer überhaupt berechtigt ist. Fachleute nennen das eine fehlende Authentifizierung für eine kritische Funktion (CWE-306).

Konkret kann jeder, der den Server über das Netzwerk erreicht, über die Endpunkte /v1/postgres/recovery/backup und /v1/postgres/recovery/restore Dateien anlegen oder überschreiben. Und wer auf einem System frei Dateien schreiben darf, ist von voller Code-Ausführung nur einen kurzen Schritt entfernt.

So tickt die Zeitbombe

Die Zeitleiste ist eng: Splunk hat die Lücke am 10. Juni im Advisory SVD-2026-0603 öffentlich gemacht. Schon am 13. Juni tauchte ein fertiger Demo-Exploit auf GitHub auf — die Anleitung zum Angriff lag also offen. Am 18. Juni zog die CISA nach und setzte die Lücke auf ihre Liste der aktiv ausgenutzten Schwachstellen, mit Pflicht-Frist 21. Juni für US-Behörden.

Für dich heißt das: Es ist kein theoretisches Risiko mehr. Es wird angegriffen, jetzt.

So rettest du deinen Log-Server

Splunk hat fertige Updates bereitgestellt. Bring deine Installation auf eine der gepatchten Versionen: 10.0.7, 10.2.4 oder 10.4.0 (oder neuer). Das ist der einzige saubere Fix.

EXTRA-TIPP: Wenn du nicht sofort patchen kannst, schotte den Sidecar-Dienst ab — er hat im offenen Internet ohnehin nichts verloren. Sperre den Zugriff über Firewall-Regeln so, dass nur das lokale System ihn erreicht. Und prüfe deine Logs auf verdächtige Aufrufe der genannten Backup-/Restore-Endpunkte.

FAZIT: Heute, nicht morgen

Eine 9.8er-Lücke mit öffentlichem Exploit und aktiver Ausnutzung gehört zur Sorte „sofort handeln“. Splunk-Server stehen oft mittendrin in der Infrastruktur und sehen jede Menge sensibler Daten — genau deshalb sind sie ein lohnendes Ziel. Patch einspielen, Port dichtmachen, Logs prüfen. In dieser Reihenfolge.

Häufige Fragen

Welche Splunk-Versionen sind betroffen?
Verwundbar sind Splunk Enterprise 10.0 vor Version 10.0.7 sowie 10.2 vor Version 10.2.4. Die Korrekturen stecken in 10.0.7, 10.2.4 und 10.4.0. Splunk Cloud wird von Splunk separat aktualisiert — prüfe dort deinen Wartungsstatus.
Wie merke ich, ob mein System verwundbar ist?
Schau in deiner Splunk-Oberfläche unter Hilfe oder Einstellungen nach der genauen Versionsnummer. Liegt sie unter den genannten Patch-Ständen, bist du angreifbar. Zusätzlich solltest du die Logs auf Zugriffe der Endpunkte /v1/postgres/recovery/backup und /restore durchsuchen.
Wie behebe ich das Problem konkret?
Spiele das offizielle Update auf 10.0.7, 10.2.4 oder 10.4.0 ein — das schließt die Lücke vollständig. Kannst du nicht sofort patchen, sperre den PostgreSQL-Sidecar per Firewall so ab, dass er nur lokal erreichbar ist.
Gab es schon aktive Angriffe?
Ja. Seit dem 13. Juni kursiert ein öffentlicher Demo-Exploit, und die CISA hat die Lücke am 18. Juni als aktiv ausgenutzt eingestuft. Das Risiko ist real und akut, nicht bloß theoretisch.

Quellen: Splunk Advisory SVD-2026-0603, CISA Known Exploited Vulnerabilities Catalog (18.06.2026), The Hacker News, Security Affairs, SOCRadar, Orca Security.

Kommentar hinterlassen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert