Unzureichende Zugriffskontrolle in Splunk SOAR ermöglicht nicht authentifizierten Netzwerkangreifern die vollständige Kompromittierung (CVE-2026-76407)

Was passiert ist

CVE-2026-76407 ist eine Schwachstelle durch unzureichende Zugriffskontrolle (CWE-284) in Splunk SOAR. Sie wurde bei einer internen Sicherheitsüberprüfung von Cisco entdeckt und in einem Software-Härtungsrelease behoben. Ein Angreifer kann sie ohne Anmeldedaten und ohne Benutzerinteraktion über das Netzwerk ausnutzen.

Der CVSS-v3.1-Score beträgt 9,8 und gilt als kritisch; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. SSVC bewertet die Schwachstelle als automatisierbar mit vollständiger technischer Auswirkung. Der CVE-Eintrag meldet keine bekannte Ausnutzung und keine öffentliche Offenlegung.

Wer betroffen ist

Betroffenes Produkt: Splunk SOAR, alle Versionen vor 8.7.0. Organisationen, die Splunk SOAR einsetzen, sollten jede Instanz mit einem Versionsstand vor 8.7.0 als betroffen einstufen.

Was jetzt zu tun ist

1. Aktualisieren Sie so bald wie möglich auf Splunk SOAR 8.7.0, das korrigierte Release. Dabei handelt es sich um ein Software-Härtungsrelease, das mehrere intern entdeckte Schwachstellen behebt.
2. Für diese Schwachstelle durch unzureichende Zugriffskontrolle wurde keine Problemumgehung veröffentlicht. Bis zum Einspielen der Sicherheitsupdates sollten Sie den Netzzugriff auf Splunk SOAR so einschränken, dass Splunk SOAR nur aus vertrauenswürdigen Verwaltungsnetzen erreichbar ist.
3. Stellen Sie nach der Aktualisierung sicher, dass alle Instanzen auf Version 8.7.0 oder höher sind.

Wie man es erkennt

Da die Schwachstelle ohne Anmeldedaten über das Netzwerk erreichbar ist, sollten Sie prüfen, ob eine Instanz von Splunk SOAR aus dem Internet oder aus anderen nicht vertrauenswürdigen Segmenten erreichbar ist. Behandeln Sie erreichbare Instanzen bis zum Abschluss der Aktualisierung auf 8.7.0 als exponiert.

Über den Patch hinaus

Spielen Sie zuerst die Sicherheitsupdates ein. Über dieses Release hinaus liegt die längerfristige Sicherheitsmaßnahme in der Transparenz: Eine Schwachstelle, die ohne Anmeldedaten aus der Ferne ausnutzbar ist, bedeutet, dass sich das Zeitfenster der Gefährdung danach bemisst, wie schnell Sie erreichbare Verwaltungsschnittstellen finden und schließen. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, den Überblick über die Gefährdungslage solcher Dienste zu behalten, während Sie mit Lieferkettenschutz und Drittparteienrisiko die Patch-Zyklen der Anbieter Ihrer Software verfolgen – so gelangt ein Software-Härtungsrelease wie dieses an die Spitze der Prioritätenliste.