CVE-2026-76268 Falta de autenticación en la API REST de Patroni en Splunk Enterprise

Qué es CVE-2026-76268

En Splunk Enterprise versiones anteriores a 10.4.3 y 10.2.7, un usuario no autenticado con acceso de red a la API REST de Patroni en un miembro de search head cluster podría ejecutar comandos del sistema operativo controlados por el atacante, porque la interfaz no exige autenticación para operaciones críticas de configuración. Las versiones 10.0.x y 9.4.x no están afectadas.

Productos y versiones afectadas

• Splunk Splunk Enterprise

  • desde 10.4 hasta antes de 10.4.3
  • desde 10.2 hasta antes de 10.2.7

Qué hacer

1. Verificá si usás Splunk Enterprise y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• murrez/CVE-2026-76268 ↗CVE-2026-76268 PoC: Splunk Enterprise SHC Patroni REST unauth RCE — PATCH /config archive_command + POST /restart. Check + mass exploit, OOB POCBIT-76268-OK, CVSS 9.8.PUBLICADO 13 OCT · 23:01

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

In Splunk Enterprise versions below 10.4.3 and 10.2.7, an unauthenticated user with network access to the Patroni Representational State Transfer (REST) Application Programming Interface (API) on a search head cluster member could execute attacker-controlled operating-system commands. The vulnerability is possible because this interface does not require authentication for critical configuration operations. For more information see Sidecar configuration settings (https://help.splunk.com/en/data-management/splunk-enterprise-admin-manual/10.2/splunk-sidecars/sidecar-configuration-settings) in the Splunk documentation. Splunk Enterprise versions 10.0.x and 9.4.x are not affected.

Referencias

• advisory.splunk.com/advisories/SVD-2026-1001

Historial de la alerta

1. 13 OCT · 23:01EXPLOIT PÚBLICO Se publicó el repositorio murrez/CVE-2026-76268.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.