Splunk SOAR: Versagen des Schutzmechanismus ermöglicht Kompromittierung ohne Authentifizierung (CVE-2026-76528)

Was passiert ist

Ciscos interne Sicherheitsüberprüfung hat ein Versagen des Schutzmechanismus in Splunk SOAR identifiziert, das als CVE-2026-76528 geführt und unter CWE-693 eingeordnet wird. Cisco beschreibt dies als eine von mehreren intern entdeckten Schwachstellen, die in einem Release zur Härtung der Software behoben wurden. CWE-693 bezeichnet eine Schwachstellenklasse, bei der Schutzmechanismen versagen; die veröffentlichten Angaben benennen daher keine einzelne betroffene Komponente. Laut dem CVSS-3.1-Vektor ist die Schwachstelle über das Netzwerk erreichbar, erfordert keine Berechtigungen und keine Benutzerinteraktion und kann zu einem vollständigen Verlust von Vertraulichkeit, Integrität und Verfügbarkeit führen. Cisco bewertet sie mit 9,8 als kritisch.

Der CVE-Eintrag führt keine bekannte Ausnutzung und keine öffentliche Offenlegung auf. Cisco hat für diese Schwachstelle keinen Workaround veröffentlicht.

Wer betroffen ist

Betroffen sind Splunk-SOAR-Versionen vor 8.7.0. Wenn Sie eine frühere Version als 8.7.0 einsetzen, ist diese Schwachstelle für Ihre Bereitstellung relevant. Cisco hat keine anderen Produkte als betroffen aufgeführt. Prüfen Sie Ihr Asset-Inventar oder die Abdeckung durch Ihren Schwachstellenscanner auf Splunk-SOAR-Instanzen und priorisieren Sie Bereitstellungen, die aus dem Internet erreichbar sind.

Was jetzt zu tun ist

1. Aktualisieren Sie auf Splunk SOAR 8.7.0. Dies ist die im Sicherheitshinweis genannte korrigierte Version.
2. Schränken Sie bis zum Abschluss des Updates den Netzzugriff auf die Webschnittstelle und die APIs von Splunk SOAR so ein, dass sie nur aus vertrauenswürdigen Verwaltungsnetzen erreichbar sind. Dies ist eine vorübergehende Eindämmungsmaßnahme und kein Ersatz für das Update.
3. Prüfen Sie den veröffentlichten Sicherheitshinweis erneut auf weitere Hinweise des Herstellers; derzeit ist kein Workaround aufgeführt.

Wie man es erkennt

Da diese Schwachstelle ohne Authentifizierung über das Netzwerk ausgenutzt werden kann, ermitteln Sie zunächst alle Splunk-SOAR-Instanzen, die aus dem Internet oder anderen nicht vertrauenswürdigen Netzen erreichbar sind. Priorisieren Sie Bereitstellungen, bei denen die Verwaltungsschnittstelle oder API ohne eine vorgelagerte zusätzliche Zugriffskontrollschicht zugänglich ist. Behandeln Sie aus dem Internet erreichbare Instanzen als unmittelbare Priorität.

Über den Patch hinaus

CVE-2026-76528 zeigt, wie eine über das Netzwerk erreichbare Schwachstelle ohne Authentifizierung in einer Orchestrierungsplattform zu einer unternehmensweiten Gefährdung wird, wenn der Dienst weiterhin erreichbar bleibt. Mit unseren Virtual CISO Services finden Sie exponierte Dienste und offene Ports, bevor diese zu Auslösern von Sicherheitsvorfällen werden. Mit unserem Lieferkettenschutz & Drittparteienrisiko verfolgen wir die Patch-Zyklen von Zulieferern, damit Sie Ihr Zeitfenster der Gefährdung kennen, sobald eine Korrektur angekündigt wird.