Una falla in Splunk apre le porte ai comandi remoti: ecco la patch

A volte i problemi più seri arrivano da funzioni che sembrano innocue. Un’anteprima di file, ad esempio. Un gesto banale per chi usa una piattaforma di analisi dei dati, ma che in certi casi può trasformarsi in qualcosa di molto più pericoloso.

È proprio quello che è emerso con una nuova vulnerabilità che riguarda Splunk.

La falla, classificata con identificativo CVE-2026-20163, consente in determinate condizioni di eseguire comandi direttamente sul server. Non un dettaglio da poco, soprattutto negli ambienti aziendali dove Splunk è parte dell’infrastruttura di monitoraggio.

Quando il preview dei file diventa un problema

Il difetto riguarda la REST API utilizzata sia da Splunk Enterprise sia dalla Splunk Cloud Platform. In particolare entra in gioco la funzione che permette di visualizzare l’anteprima dei file prima che vengano indicizzati.

Qui succede qualcosa di curioso. Se un utente possiede un ruolo con un privilegio specifico chiamato edit_cmd, può sfruttare il parametro unarchive_cmd per eseguire comandi shell arbitrari. Non stiamo parlando di un accesso anonimo, sia chiaro. Serve un livello di autorizzazione elevato.

Ma la situazione resta delicata.

Un amministratore con accessi estesi – o un account compromesso con gli stessi privilegi – potrebbe sfruttare questa debolezza per eseguire comandi direttamente sulla macchina che ospita Splunk.

Cosa succede tecnicamente

Il problema nasce da una gestione non corretta dei dati forniti in input durante il processo di anteprima dei file caricati. In pratica, il sistema non filtra in modo adeguato ciò che riceve prima della fase di indicizzazione.

L’attacco passa attraverso l’endpoint REST chiamato /splunkd/_upload/indexing/preview. È lì che un utente autorizzato ma male intenzionato può inserire comandi da eseguire sul server sottostante.

Non è una vulnerabilità teorica. Il meccanismo è chiaro e sfruttabile in scenari reali se le condizioni di privilegio sono soddisfatte.

Versioni coinvolte e aggiornamenti

Il problema riguarda diverse versioni delle piattaforme Splunk.

Per quanto riguarda Splunk Enterprise risultano vulnerabili le versioni precedenti alla 10.2.0, alla 10.0.4, alla 9.4.9 e alla 9.3.10.

La soluzione indicata è semplice almeno sulla carta. Aggiornare il software alle versioni corrette dove la vulnerabilità è stata risolta. Quando l’aggiornamento immediato non è possibile, esiste comunque una mitigazione temporanea. Gli amministratori possono ridurre la superficie di attacco rimuovendo la capability edit_cmd dai ruoli che la possiedono.

La segnalazione tecnica e le indicazioni di sicurezza sono state pubblicate da Splunk nel proprio advisory ed inoltre sono state pubblicate delle patch cumulative.

Per la community di Red Hot Cyber questa storia ricorda una lezione che torna sempre: quando una piattaforma gestisce dati e automazioni su larga scala, anche funzioni apparentemente innocue come un’anteprima file meritano lo stesso livello di attenzione delle componenti più esposte.

Spesso le vulnerabilità più interessanti nascono proprio lì, dove nessuno guarda davvero o dove tutti guardano poco.

Bajram Zeqiri

Bajram Zeqiri è un esperto di cybersecurity, cyber threat intelligence e digital forensics con oltre vent'anni di esperienza, che unisce competenze tecniche, visione strategica creare la resilienza cyber per le PMI. Fondatore di ParagonSec e collaboratore tecnico per Red Hot Cyber, opera nella delivery e progettazione di diversi servizi cyber, SOC, MDR, Incident Response, Security Architecture, Engineering e Operatività. Aiuta le PMI a trasformare la cybersecurity da un costo a leva strategica per le PMI.

Aree di competenza: Cyber threat intelligence, Incident response, Digital forensics, Malware analysis, Security architecture, SOC/MDR operations, OSINT research