Autor: Wojciech Ciemski

Wprowadzenie do problemu / definicja

Splunk oraz Palo Alto Networks opublikowały poprawki bezpieczeństwa usuwające szereg istotnych podatności w swoich produktach. Problem obejmuje zarówno błędy umożliwiające nieautoryzowany dostęp do chronionych zasobów, jak i luki pozwalające na operacje na plikach, ataki SSRF, XSS, a w wybranych scenariuszach również zdalne wykonanie kodu.

Dla organizacji korzystających z tych rozwiązań oznacza to konieczność pilnej weryfikacji ekspozycji, wersji oprogramowania oraz wdrożenia aktualizacji. Szczególne znaczenie ma fakt, że podatności dotyczą narzędzi pełniących centralną rolę w monitorowaniu, automatyzacji i reagowaniu na incydenty.

W skrócie

• Splunk opublikował kilkanaście biuletynów bezpieczeństwa dotyczących własnych produktów i komponentów zewnętrznych.
• Najpoważniejsza luka po stronie Splunk, CVE-2026-20253, otrzymała ocenę CVSS 9.8 i dotyczy Splunk Enterprise.
• Podatność umożliwia nieuwierzytelnionemu atakującemu wykonywanie operacji na plikach przez sieciowo dostępny endpoint usługi PostgreSQL sidecar.
• Palo Alto Networks załatało lukę CVE-2026-0274 w Cortex XSOAR i Cortex XSIAM, związaną z nieprawidłową walidacją poświadczeń w integracji CommvaultSecurityIQ.
• Obaj producenci wskazali, że nie mają informacji o aktywnym wykorzystywaniu opisanych luk, jednak charakter błędów uzasadnia szybkie działania administratorów.

Kontekst / historia

Splunk i Palo Alto Networks należą do grupy dostawców rozwiązań szeroko wykorzystywanych w środowiskach korporacyjnych, SOC i SecOps. Podatności w tego typu produktach mają szczególne znaczenie, ponieważ narzędzia te często działają z wysokimi uprawnieniami, integrują się z wieloma systemami oraz przetwarzają dane o wysokiej wrażliwości operacyjnej.

W ostatnich latach rynek wielokrotnie obserwował przypadki, w których luki w systemach klasy SIEM, SOAR, EDR czy platformach bezpieczeństwa stawały się atrakcyjnym celem dla atakujących. Kompromitacja takiego narzędzia może otworzyć drogę nie tylko do pozyskania telemetryki i danych analitycznych, ale także do manipulowania procesami reagowania, regułami korelacyjnymi oraz zaufanymi integracjami.

Opublikowane poprawki wpisują się więc w szerszy trend rosnącego znaczenia bezpieczeństwa narzędzi obronnych. Samo wdrożenie platform security nie eliminuje ryzyka, jeśli organizacja nie prowadzi regularnego patch managementu, przeglądu konfiguracji i ograniczania powierzchni ataku.

Analiza techniczna

Najpoważniejszą podatnością po stronie Splunk jest CVE-2026-20253 w Splunk Enterprise. Błąd został sklasyfikowany jako krytyczny i dotyczy możliwości arbitralnego tworzenia oraz nadpisywania plików. Mechanizm ataku wynika z braku odpowiedniej kontroli uwierzytelniania w endpointcie usługi PostgreSQL sidecar. Jeśli komponent jest dostępny sieciowo, atakujący może bez podawania poświadczeń wykonywać operacje na plikach.

Taki scenariusz jest szczególnie niebezpieczny, ponieważ możliwość tworzenia, nadpisywania lub obcinania plików może prowadzić do sabotażu usług, uszkodzenia konfiguracji, modyfikacji danych roboczych oraz przygotowania gruntu pod dalszą eskalację. W zależności od architektury wdrożenia i uprawnień procesu skutki mogą obejmować zarówno zakłócenie działania aplikacji, jak i potencjalne przejęcie kontroli nad elementami środowiska.

Splunk załatał również trzy podatności wysokiego ryzyka w Splunk Enterprise, które mogą prowadzić odpowiednio do zdalnego wykonania kodu, ataków SSRF oraz XSS. W środowiskach korporacyjnych jest to szczególnie groźny zestaw zagrożeń. RCE może umożliwić pełne przejęcie komponentu aplikacyjnego, SSRF bywa wykorzystywany do skanowania usług wewnętrznych i omijania segmentacji sieciowej, natomiast XSS może posłużyć do przejęcia sesji administratora lub manipulacji interfejsem zarządzania.

Dodatkowo producent usunął kilka błędów średniego poziomu w Splunk Enterprise i Splunk SOAR. Według opisów mogły one prowadzić między innymi do eksfiltracji danych wrażliwych, zmiany właściciela zapisanych wyszukiwań na dowolnych użytkowników oraz wstrzykiwania sekwencji ANSI escape do logów aplikacyjnych SOAR. Choć tego typu podatności są często oceniane jako mniej pilne, w praktyce mogą stanowić wartościowe elementy łańcucha ataku.

Po stronie Palo Alto Networks kluczowe znaczenie ma CVE-2026-0274 w Cortex XSOAR i Cortex XSIAM. Błąd wynika z niewłaściwej walidacji poświadczeń w integracji CommvaultSecurityIQ. W praktyce może to umożliwić dostęp do zasobów, które powinny pozostać chronione, a także ich modyfikację. Istotne jest również to, że luka nie wymaga specjalnej konfiguracji, aby mogła zostać wykorzystana, co podnosi poziom ryzyka w środowiskach korzystających z podatnych wersji.

Palo Alto Networks opublikowało ponadto poprawki dla ośmiu dodatkowych podatności o niskim i średnim poziomie zagrożenia w PAN-OS, Prisma Access Agent, Cortex XSOAR oraz GlobalProtect App. Choć każda z nich może mieć ograniczony wpływ indywidualnie, łączna liczba błędów wskazuje na potrzebę pełnego przeglądu wersji oprogramowania w całym stosie bezpieczeństwa.

Konsekwencje / ryzyko

Największe ryzyko dotyczy organizacji, które wystawiają podatne komponenty do sieci lub utrzymują szeroko dostępne interfejsy administracyjne. W przypadku Splunk Enterprise luka umożliwiająca operacje na plikach bez uwierzytelnienia może doprowadzić do szybkiego zakłócenia działania usługi, manipulacji artefaktami systemowymi, a w określonych architekturach również do dalszej kompromitacji hosta.

W środowiskach SOC oraz SecOps kompromitacja platform takich jak Splunk, Cortex XSOAR czy Cortex XSIAM ma dodatkowy wymiar operacyjny. Atakujący może uzyskać wgląd w alerty, reguły korelacyjne, playbooki automatyzacji oraz integracje z systemami zewnętrznymi. To z kolei może ułatwić ukrywanie działań, usuwanie śladów, dezaktywację reakcji automatycznych i wykorzystanie zaufanych połączeń jako wektora ruchu lateralnego.

Ryzyko rośnie także wraz z opóźnianiem aktualizacji. Publiczne ujawnienie podatności i dostępność szczegółów technicznych często przyspieszają pojawienie się skanerów, exploitów proof-of-concept lub zautomatyzowanych prób wykrywania podatnych instancji. Nawet jeśli producenci nie obserwują aktywnej eksploatacji, okno bezpieczeństwa po publikacji poprawek zwykle szybko się zawęża.

Rekomendacje

W pierwszej kolejności organizacje powinny zidentyfikować wszystkie instancje Splunk Enterprise, Splunk SOAR, Cortex XSOAR, Cortex XSIAM, PAN-OS, Prisma Access Agent oraz GlobalProtect App działające w środowisku i porównać ich wersje z opublikowanymi biuletynami bezpieczeństwa.

Następnie należy niezwłocznie wdrożyć poprawki zgodnie z zaleceniami producentów. W środowiskach o wysokiej krytyczności biznesowej warto połączyć proces aktualizacji z kontrolowanym testem regresji, ale bez nieuzasadnionego odkładania patchowania.

Do czasu pełnej aktualizacji wskazane jest ograniczenie ekspozycji sieciowej podatnych usług, zwłaszcza endpointów administracyjnych i komponentów osiągalnych z sieci niesegmentowanych. Dostęp powinien zostać zawężony do zaufanych stref, a tam, gdzie to możliwe, należy wdrożyć dodatkowe kontrole dostępu oraz filtrację na poziomie zapór.

Zespoły bezpieczeństwa powinny również przeanalizować logi pod kątem nietypowych operacji na plikach, anomalii związanych z usługami bazodanowymi komponentów pomocniczych, nieoczekiwanych zmian konfiguracji, podejrzanych żądań SSRF oraz zdarzeń wskazujących na manipulację interfejsami webowymi.

Warto także przeprowadzić przegląd uprawnień serwisowych i integracji zewnętrznych. Produkty bezpieczeństwa często posiadają szerokie uprawnienia do systemów końcowych, repozytoriów, platform chmurowych i narzędzi orkiestracji, dlatego ograniczenie ich do niezbędnego minimum może znacząco zmniejszyć skutki ewentualnej kompromitacji.

• Zidentyfikować wszystkie podatne instancje i zweryfikować wersje.
• Wdrożyć poprawki producentów w trybie priorytetowym.
• Ograniczyć dostęp sieciowy do interfejsów administracyjnych i usług pomocniczych.
• Przeanalizować logi pod kątem anomalii i oznak nadużyć.
• Zrewidować uprawnienia oraz zaufane integracje z systemami zewnętrznymi.
• Uzupełnić działania o skanowanie podatności i aktualizację reguł detekcyjnych.

Podsumowanie

Najnowsze poprawki Splunk i Palo Alto Networks usuwają podatności, które w niekorzystnych warunkach mogą prowadzić do poważnej kompromitacji środowiska. Szczególną uwagę zwraca krytyczna luka w Splunk Enterprise umożliwiająca nieuwierzytelnione operacje na plikach oraz błąd w Cortex XSOAR i Cortex XSIAM pozwalający na dostęp do chronionych zasobów.

Dla organizacji korzystających z tych produktów priorytetem powinno być szybkie wdrożenie aktualizacji, ograniczenie ekspozycji podatnych komponentów oraz przegląd logów i integracji. Ponieważ chodzi o narzędzia pełniące centralną rolę w monitorowaniu i reagowaniu na incydenty, ich bezpieczeństwo ma bezpośredni wpływ na odporność całego środowiska.

Źródła

• SecurityWeek: Splunk, Palo Alto Networks Patch Severe Vulnerabilities
• Palo Alto Networks Security Advisories
• Splunk Security Advisories