Splunk'un SVD-2026-1001 duyurusu, O11y Cloud uygulamasının REST API'sindeki log injection açığı CVE-2026-76267'yi gideriyor

Ne oldu

Splunk, 7 Ekim 2026'da Splunk Enterprise'taki bir dizi güvenlik açığını kapsayan SVD-2026-1001 duyurusunu yayımladı. Bu gruptaki girişlerden biri olan CVE-2026-76267, CVSSv3.1 temel puanı 4.3 olan, CWE-117 yani loglara yazılan çıktının uygunsuz şekilde etkisizleştirilmesi sınıfına kaydedilmiş orta düzey bir güvenlik açığıdır. Duyuruyu bir sürüm matrisi olarak oklayan bir dev.to analizine göre CVE kaydı Splunk adına Cisco PSIRT tarafından atanmış ve aynı gün yayımlanmıştır; kayıt etkilenen modül olarak REST API'yi göstermektedir.

Hangi sürümler etkileniyor

Duyuru, Splunk Enterprise'ı dört sürüm dalı üzerinden ele alıyor ve her biri için bir düzeltme belirtiyor. Bu CVE için durum şöyle:

• Dal 10.4: 10.4.0 ile 10.4.2 arasındaki sürümler etkileniyor, 10.4.3'te düzeltildi.
• Dal 10.2: 10.2.0 ile 10.2.6 arasındaki sürümler etkileniyor, 10.2.7'de düzeltildi.
• Dal 10.0: 10.0.0 ile 10.0.9 arasındaki sürümler etkileniyor, 10.0.10'da düzeltildi.
• Dal 9.4: grup, diğer sorunları için bir 9.4.15 düzeltmesi listelese de bu CVE'den etkilenmiyor.

dev.to yazarının temel gözlemi, 9.4 düzeltme satırının bu defaya değil daha geniş gruba ait olduğudur. Duyuruyu düz metin olarak değil, dallar ve düzeltmeler tablosu olarak okumak, yöneticilerin her satırı eşit derecede acil sanmasını önlüyor.

Açık nasıl işliyor

Splunk'un açıklamasına göre saldırı, rolünde read_o11y_content yetkisi bulunan bir hesap gerektiriyor. Böyle bir kullanıcı REST API aracılığıyla uygulama loguna sahte girişler yerleştirebiliyor. Güvenlik açığı barındıran bileşen, kullanıcı tarafından sağlanan SignalFlow içeriğini loga önceden etkisiz hale getirmeden yazan Splunk App for Splunk O11y Cloud'dur. Bundan iki ön koşul doğuyor: saldırganın geçerli kimlik bilgileri ve erişilebilir bir REST API dışında bir şeye ihtiyacı yok, ayrıca uygulamanın ilgili instance üzerinde kurulu olması gerekiyor. Bu ikinci koşul, CVE kaydının REST API'yi işaret ederken duyurunun uygulamayı işaret etmesini de açıklıyor.

Önem derecesi ve maruziyet

Yayımlanan vektör olan CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N, ağ üzerinden erişilebilen, düşük saldırı karmaşıklığına sahip, düşük yetki gerektiren ve kullanıcı etkileşimi gerektirmeyen bir açığı tanımlıyor. Gizlilik ve erişilebilirlik etkilenmiyor; bütünlük etkisi düşük ve yalnızca logla sınırlı. Açıkçası bu bir log sahteciliği: kimliği doğrulanmış bir kullanıcı, platformun gerçekmiş gibi kaydettiği girişler uydurabiliyor.

Ölçek fikri vermek için dev.to yazısı, 10 Ekim 2026'da Splunk Enterprise ile eşleşen 114.223 varlık döndüren bir ZoomEye aramasına atıf yapıyor. Bu sayı, açıkta olan herhangi bir instance'ın hangi dalı çalıştırdığı hakkında bir şey söylemiyor ve CVE'nin kendisi için yapılan sorgu, tarama servisleri henüz onu belirli varlıklarla eşleştirmemiş olduğu için sıfır döndürdü. Güvenilir sürüm verisi iç envanterden gelmek zorunda.

Yöneticiler ne yapmalı

Çözüm bir sürüm yükseltmesi: dalınıza göre 10.4.3, 10.2.7 veya 10.0.10'a ya da daha yeni bir sürüme geçin. Bu CVE için ek bir risk azaltma önlemi kaydedilmemiş. dev.to analizi pratik bir sıra öneriyor:

• Search head cluster üyeleri dahil her instance'ın dalını ve tam sürümünü kaydedin; yükseltmeler bazı yapıtları geride bırakabildiği için, dağıtım manifestosuna değil çalışan ürünün bildirdiği sürümü kontrol edin.

• Bir instance'ı kapsam dahilinde saymadan önce O11y Cloud uygulamasının kurulu olduğunu doğrulayın.

• Cluster üyelerini her zamanki rolling upgrade disipliniyle ele alın ve aynı matris gruptaki diğer 21 CVE için de geçerli olduğundan, her kaynak sürümden hedef sürüme geçişi belgeleyin.

• Yükseltmeden sonra yalnızca diskteki paket sürümünü değil, her ana makinede çalışan sürümü doğrulayarak teyit edin.

Yazı ayrıca CERT-FR ve Hollandalı NCSC'nin eşgüdümlü duyurularına işaret ediyor.

Neden önemli

4.3 puanı ertelemeye davet ediyor, ama bağlam bunun aksini söylüyor. Splunk Enterprise çoğu zaman güvenlik izleme için kayıt sistemi konumundadır ve o sisteme yerleştirilen sahte girişler, analistlerin ve müdahale ekiplerinin dayandığı kanıt tabanını bozar; uydurulmuş bir olay bir soruşturmayı yanlış yöne sokabilir ya da gerçek faaliyeti gizleyebilir. Sömürme eşiği düşük: doğru role sahip kimliği doğrulanmış herhangi bir kullanıcı, çok az sömürme karmaşıklığıyla hareket edebilir.

Duyurunun grup yapısı ayrıca işin ekonomisini değiştiriyor. Aynı sürüm envanteri 22 CVE'nin tamamının önceliklendirilmesini destekliyor; yani temiz bir dal ve sürüm sayımının tek seferlik çabası defalarca karşılığını veriyor. Ve daha geniş ders genellenebilir: gruplar halinde gelen üretici duyuruları, sürümler ve düzeltmeler matrisi olarak çözümlendiğinde en uygulanabilir hale gelir; bu da hem gereksiz yamalamayı hem de sessizce eksik yamalamayı önlemeyi kolaylaştırır.