9,8 su 10! Gli Hacker criminali stanno sfruttando un bug critico su Splunk Enterprise

Una vulnerabilità critica nel servizio ausiliario PostgreSQL di Splunk Enterprise permette agli attaccanti di creare o modificare file arbitrari senza autenticazione. La falla è già stata sfruttata dagli hacker criminali, i quali hanno messo a rischio l'integrità dei dati e la disponibilità del sistema. Gli amministratori sono invitati ad aggiornare il software o disabilitare temporaneamente il servizio PostgreSQL per mitigare i rischi.

Gli hacker stanno sfruttando una grave vulnerabilità presente nella versione aziendale di Splunk, mettendo a rischio oltre 1400 istanze del software esposte su internet. La falla, identificata con il codice CVE-2026-20253 e valutata 9.8 su una scala CVSS (Critical), colpisce le versioni di Splunk Enterprise da 10.2 a 10.2.4 e la serie 10.0 fino alla versione 10.0.7. Le versioni precedenti, inclusa la 9.4, non sono interessate.

La vulnerabilità riguarda il servizio ausiliario PostgreSQL, che non verifica l’autenticazione degli utenti, permettendo così a chiunque abbia accesso alla rete di creare file arbitrari o modificare quelli esistenti senza credenziali. Questa situazione rappresenta un rischio significativo sia per l’integrità dei dati che per la disponibilità del sistema.

Il team PSIRT di Splunk ha segnalato a giugno 2026 che la vulnerabilità stava già venendo sfruttata limitatamente, portando il CISA (Cybersecurity and Infrastructure Security Agency) degli Stati Uniti ad aggiungerla al catalogo delle vulnerabilità note e attivamente sfruttate. Per le agenzie federali statunitensi, ciò implica l’obbligo di risolvere la falla con priorità assoluta su sistemi accessibili da internet.

Secondo i dati di Shadowserver, più di 1400 istanze di Splunk sono ancora esposte online, con la maggior parte situata in Nord America (952 sistemi) e in Europa (223 sistemi). Tuttavia, non è chiaro quanti di questi siano effettivamente vulnerabili agli attacchi attuali.

Splunk consiglia di aggiornare a versioni 10.4.0, 10.2.4 o 10.0.7 e successive. Se l’aggiornamento immediato non è possibile, gli amministratori possono disabilitare il servizio ausiliario PostgreSQL aggiungendo nel file $SPLUNK_HOME/etc/system/local/server.conf la sezione [postgres] con il parametro disabled = true, poi riavviando Splunk Enterprise.

Questa soluzione temporanea potrebbe interrompere funzionalità come Edge Processor e OpAmp.

Nel frattempo, il gruppo di hacker noto come The Gentlemen ha preso di mira Mackay Sugar, uno dei principali produttori di zucchero in Australia, durante la stagione di produzione. L’attacco ha fermato parte della fabbricazione di zucchero nel paese proprio quando i contadini avevano iniziato il raccolto.

L’incidente ha colpito due delle tre fabbriche di Mackay Sugar: Racecourse e Farleigh, costringendo la compagnia a interrompere le operazioni. La terza fabbrica non è stata interessata poiché non era in funzione al momento dell’attacco. La produzione di zucchero nella regione di Mackay è stata gravemente compromessa, con le operazioni di raccolta ferme su una vasta area.

Mackay Sugar ha confermato di essere a conoscenza del messaggio pubblicato dal gruppo Gentlemen sul loro sito underground e sta indagando sull’entità dei dati potenzialmente compromessi. La compagnia ha promesso di ripristinare la produzione il prima possibile, pur riconoscendo l’impatto negativo sul settore agricolo locale.

Gentlemen ha minacciato di pubblicare i dati rubati se non verrà pagato un riscatto, senza però specificare quali informazioni siano state ottenute o quale sia la somma richiesta. 

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response