Unsachgemäßer Schutz alternativer Pfade in Splunk SOAR ermöglicht nicht authentifizierten Netzwerkangreifern eine vollständige Kompromittierung (CVE-2026-76529)

Was passiert ist

Die interne Sicherheitsprüfung von Cisco hat in Splunk SOAR einen unsachgemäßen Schutz alternativer Pfade (CWE-424) festgestellt. Die Schwachstelle ist nach CVSS 3.1 mit einem Wert von 9,8 als kritisch eingestuft. Sie ist über das Netzwerk bei geringer Angriffskomplexität erreichbar, erfordert keine Berechtigungen und keine Benutzerinteraktion. Ein entfernter Angreifer, der eine betroffene Instanz erreichen kann, kann hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit verursachen.

Der CVE-Eintrag meldet keine bekannte Ausnutzung und keine öffentliche Offenlegung. Das Release zur Software-Härtung für Splunk SOAR behebt dieses Problem sowie mehrere intern entdeckte Schwachstellen. Der Eintrag beschreibt über CWE-424 hinaus weder den konkreten alternativen Pfad noch die betroffenen Funktionen.

Wer betroffen ist

Versionen von Splunk SOAR vor 8.7.0 sind betroffen. Alle Releases vor 8.7.0 sind betroffen. Organisationen, die Splunk SOAR betreiben, sollten ihre aktuelle Version überprüfen. Weitere betroffene Produkte sind nicht aufgeführt.

Was jetzt zu tun ist

1. Aktualisieren Sie Splunk SOAR auf 8.7.0. Cisco beschreibt dieses Release als Veröffentlichung zur Software-Härtung, die mehrere intern entdeckte Schwachstellen einschließlich CVE-2026-76529 behebt.
2. Schränken Sie vor dem Einspielen des Updates den Netzwerkzugriff auf Splunk SOAR so ein, dass die Instanz nur aus vertrauenswürdigen Verwaltungsnetzen oder über ein VPN erreichbar ist. Der CVSS-Vektor zeigt, dass keine Berechtigungen und keine Benutzerinteraktion erforderlich sind und die Angriffskomplexität gering ist; die Erreichbarkeit über das Netzwerk ist daher vor dem Einspielen des Updates das Hauptrisiko.
3. Wenn Sie nicht sofort aktualisieren können, prüfen Sie den Sicherheitshinweis von Splunk auf plattformspezifische Schritte und bestätigen Sie die Version auf jeder Instanz von Splunk SOAR in Ihrem Inventar.

Wie man es erkennt

Der CVE-Eintrag nennt keine herstellerspezifischen Indikatoren für eine Kompromittierung. Da der Vektor eine Erreichbarkeit über das Netzwerk ohne Anmeldedaten und ohne Benutzerinteraktion zeigt, besteht der praktische Erkennungsschritt darin, zu prüfen, ob eine Instanz von Splunk SOAR aus nicht vertrauenswürdigen Netzwerken erreichbar ist. Falls das Exposure-Management bereits offene Verwaltungs- oder Orchestrierungsschnittstellen erkennt, beginnen Sie dort.

Über den Patch hinaus

Dies ist eine kritische Netzwerkschwachstelle, die ohne Authentifizierung ausgenutzt werden kann, in einer Plattform, auf die sich Sicherheitsteams verlassen. Dadurch können offen erreichbare Instanzen aus einem grundsätzlich behebbaren Fehler einen größeren Sicherheitsvorfall machen. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, zu erfassen, welche Verwaltungs- und Orchestrierungsschnittstellen erreichbar sind, und unnötige Angriffsflächen zu schließen, bevor ein Upgrade abgeschlossen ist. Die Nachverfolgung, welche Anbieter Sicherheitswerkzeuge liefern, und die Prüfung, wie schnell deren Korrekturen übernommen werden, ist Teil von Lieferkettenschutz und Drittparteienrisiko.