{"id":1196,"date":"2026-06-21T09:11:34","date_gmt":"2026-06-21T12:11:34","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/06\/21\/cve-2026-20253-falha-critica-no-splunk-enterprise-com-explor-2\/"},"modified":"2026-06-21T09:11:34","modified_gmt":"2026-06-21T12:11:34","slug":"cve-2026-20253-falha-critica-no-splunk-enterprise-com-explor-2","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/06\/21\/cve-2026-20253-falha-critica-no-splunk-enterprise-com-explor-2\/","title":{"rendered":"CVE-2026-20253: Falha Cr\u00edtica no Splunk Enterprise com Explora\u00e7\u00e3o Ativa"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

Na manh\u00e3 deste domingo, 21 de junho de 2026, a Ag\u00eancia de Seguran\u00e7a Cibern\u00e9tica e Infraestrutura dos Estados Unidos (CISA) adicionou a CVE-2026-20253<\/strong> ao seu cat\u00e1logo oficial de Vulnerabilidades Conhecidas e Exploradas (KEV), confirmando que essa falha de severidade ALTA<\/strong> no Splunk Enterprise<\/strong> est\u00e1 sob explora\u00e7\u00e3o ativa<\/strong> por agentes maliciosos. A vulnerabilidade CVE-2026-20253 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> representa um vetor de ataque extremamente perigoso para organiza\u00e7\u00f5es que dependem do Splunk como plataforma central de monitoramento, SIEM e an\u00e1lise de seguran\u00e7a \u2014 ironicamente, transformando a ferramenta que deveria proteger a infraestrutura em um ponto de entrada para invasores.<\/p>\n

O cen\u00e1rio \u00e9 agravado pelo fato de que a falha permite que um usu\u00e1rio n\u00e3o autenticado<\/strong> crie ou trunque arquivos arbitr\u00e1rios por meio de um endpoint do servi\u00e7o auxiliar PostgreSQL vinculado ao Splunk Enterprise, configurando uma condi\u00e7\u00e3o prop\u00edcia para escalada de privil\u00e9gios, persist\u00eancia, exfiltra\u00e7\u00e3o de dados e at\u00e9 mesmo a execu\u00e7\u00e3o remota de c\u00f3digo em cen\u00e1rios espec\u00edficos. Estamos diante de uma zero-day<\/strong> \u2014 termo que, no jarg\u00e3o de seguran\u00e7a, indica que a janela de prote\u00e7\u00e3o \u00e9 zero: n\u00e3o h\u00e1 defesa pr\u00e9via dispon\u00edvel, e a explora\u00e7\u00e3o j\u00e1 est\u00e1 em curso antes mesmo que muitas organiza\u00e7\u00f5es tenham conhecimento da amea\u00e7a. Para empresas que operam sob regulamenta\u00e7\u00f5es como LGPD, GDPR, PCI-DSS e HIPAA<\/strong>, a presen\u00e7a de uma vulnerabilidade com explora\u00e7\u00e3o ativa no ambiente de monitoramento pode significar n\u00e3o apenas incidentes t\u00e9cnicos, mas tamb\u00e9m san\u00e7\u00f5es legais severas e danos reputacionais irrevers\u00edveis. A CVE-2026-20253 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> exige a\u00e7\u00e3o imediata \u2014 e \u00e9 exatamente sobre isso que este artigo t\u00e9cnico se debru\u00e7a.<\/p>\n

O que \u00e9 a CVE-2026-20253<\/h3>\n

A CVE-2026-20253<\/strong> \u00e9 uma vulnerabilidade classificada pelo NIST sob a categoria CWE-306: Missing Authentication for Critical Function<\/strong> \u2014 aus\u00eancia de autentica\u00e7\u00e3o para uma fun\u00e7\u00e3o cr\u00edtica. Em termos pr\u00e1ticos, o Splunk Enterprise exp\u00f5e, atrav\u00e9s de um servi\u00e7o auxiliar (sidecar) conectado ao banco de dados PostgreSQL utilizado internamente pela plataforma, um endpoint que n\u00e3o exige qualquer tipo de credencial ou token de sess\u00e3o para executar opera\u00e7\u00f5es de manipula\u00e7\u00e3o de arquivos. Esse endpoint permite criar novos arquivos ou truncar (esvaziar) arquivos existentes no sistema de arquivos onde o processo do PostgreSQL opera.<\/p>\n

Embora a vulnerabilidade n\u00e3o ofere\u00e7a, por si s\u00f3, capacidade direta de execu\u00e7\u00e3o remota de c\u00f3digo (RCE), ela estabelece as funda\u00e7\u00f5es para ataques em cadeia extremamente sofisticados. Um invasor pode, por exemplo, sobrescrever arquivos de configura\u00e7\u00e3o cr\u00edticos do pr\u00f3prio Splunk, corromper logs de auditoria, modificar permiss\u00f5es de diret\u00f3rios ou at\u00e9 mesmo plantar scripts que ser\u00e3o executados posteriormente por outros processos leg\u00edtimos do sistema \u2014 uma t\u00e9cnica conhecida como “file planting” ou “living-off-the-land”.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-20253<\/td>\n<\/tr>\n
CVSS Score<\/td>\n8.8 \u2014 HIGH<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork (Adjacent poss\u00edveis, dependendo da topologia)<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nSplunk Enterprise 9.3.x, 9.4.x (anteriores aos patches de junho\/2026)<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-306: Missing Authentication for Critical Function<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n18\/06\/2026 (NVD) \u2014 Adicionada ao KEV em 21\/06\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 Splunk Enterprise 9.3.3, 9.4.1 e superiores<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A falha reside no componente de integra\u00e7\u00e3o entre o Splunk Enterprise e o banco de dados PostgreSQL utilizado internamente para armazenar dados de configura\u00e7\u00e3o, metadados de busca, dashboards, modelos de alerta e, em algumas arquiteturas, tamb\u00e9m dados de \u00edndices. O sidecar service \u2014 um processo auxiliar projetado originalmente para facilitar a comunica\u00e7\u00e3o entre a aplica\u00e7\u00e3o principal e o banco \u2014 exp\u00f5e um endpoint de API REST que, por falha de projeto, n\u00e3o requer autentica\u00e7\u00e3o. Esse endpoint aceita comandos para criar ou truncar arquivos no diret\u00f3rio de dados do PostgreSQL ou em caminhos relacionados ao runtime do Splunk.<\/p>\n

O que torna essa vulnerabilidade particularmente trai\u00e7oeira \u00e9 que o endpoint afetado n\u00e3o est\u00e1 exposto diretamente na interface web do Splunk (porta 8000) nem na porta de gerenciamento (8089), mas sim em uma porta interna associada ao servi\u00e7o sidecar \u2014 tipicamente na faixa de portas ef\u00eameras ou em uma porta espec\u00edfica configurada durante a instala\u00e7\u00e3o (como 8191 ou 8192). Em implanta\u00e7\u00f5es corporativas onde o Splunk \u00e9 acessado atrav\u00e9s de balanceadores de carga, firewalls e gateways de API, essa porta pode estar inadvertidamente exposta \u00e0 rede, ou pode ser alcan\u00e7ada de dentro da pr\u00f3pria rede interna por um invasor que j\u00e1 tenha obtido um ponto de apoio inicial (como uma esta\u00e7\u00e3o de trabalho comprometida ou um servidor web vulner\u00e1vel). O resultado \u00e9 que a CVE-2026-20253 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> muitas vezes passa despercebida pelos controles tradicionais de seguran\u00e7a perimetral.<\/p>\n

An\u00e1lise T\u00e9cnica Detalhada<\/h3>\n

Para compreender a mec\u00e2nica de explora\u00e7\u00e3o da CVE-2026-20253<\/strong>, \u00e9 necess\u00e1rio examinar a arquitetura interna do Splunk Enterprise a partir da vers\u00e3o 9.3.0, quando a Splunk Inc. introduziu um novo modelo de persist\u00eancia h\u00edbrida que utiliza o PostgreSQL como banco auxiliar para determinadas fun\u00e7\u00f5es de busca federada, gerenciamento de knowledge objects (modelos de dados, macros, acelera\u00e7\u00f5es de relat\u00f3rios) e armazenamento de metadados de configura\u00e7\u00e3o. Nessa arquitetura, um processo sidecar escrito em Go atua como intermedi\u00e1rio entre os processos principais do Splunk (escritos em Python e C++) e a inst\u00e2ncia do PostgreSQL que roda localmente ou em um container separado.<\/p>\n

O sidecar exp\u00f5e uma API REST para gerenciamento de objetos de banco \u2014 essencialmente um wrapper que permite que os componentes do Splunk manipulem tabelas, \u00edndices, fun\u00e7\u00f5es e, criticamente, realizem opera\u00e7\u00f5es de manuten\u00e7\u00e3o como backups de snapshots e restaura\u00e7\u00f5es. \u00c9 nesse \u00faltimo conjunto de funcionalidades que o endpoint vulner\u00e1vel foi encontrado. Para facilitar opera\u00e7\u00f5es de snapshots, o sidecar aceita requisi\u00e7\u00f5es que especificam caminhos de arquivo para grava\u00e7\u00e3o de dumps e para leitura de snapshots restaurados. Ao n\u00e3o implementar valida\u00e7\u00e3o de sess\u00e3o ou token de autentica\u00e7\u00e3o nesse endpoint, qualquer agente capaz de alcan\u00e7ar a porta do sidecar pode invocar essas opera\u00e7\u00f5es.<\/p>\n

O fluxo de ataque observado em campanhas ativas pode ser decomposto nas seguintes etapas conceituais:<\/p>\n