Splunk patche une RCE critique CVSS 9.8 via l'API Patroni

Une RCE sans authentification dans le cœur du SOC d'entreprise

Le 7 octobre 2026, Splunk a publié un avis de sécurité critique concernant CVE-2026-76268, une vulnérabilité d'exécution de code à distance (RCE) affectant Splunk Enterprise dans ses déploiements en mode cluster. Le score CVSS v3.1 atteint 9.8, le niveau maximal pour une vulnérabilité logicielle, ce qui en fait l'une des failles les plus sévères découvertes en 2026 dans un produit de sécurité majeur. Le Centre pour la cybersécurité belge (CCB) et la NHS Digital britannique ont tous deux émis des alertes urgentes dans les heures suivant la divulgation.

Le vecteur d'attaque se situe dans l'API REST Patroni, un composant intégré à Splunk Enterprise pour la gestion de la haute disponibilité des search head clusters. Patroni est à l'origine un projet open-source conçu pour orchestrer la haute disponibilité de PostgreSQL ; Splunk l'a adapté pour gérer les opérations de configuration et de basculement entre les nœuds de ses clusters de search heads. Cette API est typiquement exposée sur le port 8008 des membres du cluster.

Le problème fondamental identifié par les chercheurs est l'absence totale d'authentification sur les opérations de configuration critiques exposées par cette API. Un attaquant disposant d'un accès réseau au port 8008 d'un membre du search head cluster peut envoyer des requêtes HTTP malformées à l'API Patroni pour déclencher l'exécution de commandes arbitraires sur le système hôte, avec les privilèges du processus Splunk. Dans la plupart des déploiements d'entreprise, Splunk tourne avec des privilèges élevés, ce qui signifie que l'exploitation réussie de cette faille offre un accès quasi-total au serveur compromis.

Les versions affectées sont Splunk Enterprise 10.4.x antérieures à 10.4.3 et 10.2.x antérieures à 10.2.7. Splunk Cloud Platform n'est pas concerné par cette vulnérabilité, Splunk ayant déjà déployé les correctifs sur son infrastructure SaaS. En revanche, toutes les organisations qui opèrent leur propre infrastructure Splunk Enterprise en mode search head cluster doivent agir immédiatement.

La surface d'attaque est significative dans les grandes organisations. Les déploiements en mode cluster sont précisément la configuration choisie par les entreprises traitant de gros volumes de données de sécurité : banques, opérateurs télécoms, ministères, hôpitaux, entreprises du CAC 40. Ces organisations constituent des cibles de premier choix pour les groupes APT et les opérateurs de ransomware. Selon les statistiques industrielles, Splunk est déployé dans environ 90% des entreprises du Fortune 100, une proportion similaire se retrouvant dans les grands groupes européens.

L'exploitation de cette faille ne nécessite aucune connaissance préalable des identifiants Splunk, aucun compte utilisateur valide, et aucune session préexistante. La seule condition est un accès réseau au port 8008, qui dans certaines configurations moins strictes peut être accessible depuis le LAN d'entreprise, voire depuis des segments réseau partagés entre équipes. Bien qu'aucune preuve publique d'exploitation active n'ait été publiée au moment de la divulgation, le délai habituel entre la publication d'un advisory CVSS 9.8 et l'apparition d'exploits fonctionnels est généralement de 24 à 72 heures.

Splunk recommande plusieurs mesures de mitigation immédiates pour les organisations qui ne peuvent pas patcher immédiatement. En premier lieu, restreindre via des règles de pare-feu l'accès au port 8008 aux seules adresses IP des nœuds membres du search head cluster. En second lieu, mettre en place une surveillance active des connexions entrantes sur ce port, en alertant sur toute connexion provenant d'une adresse non répertoriée dans le cluster. Ces mesures sont des palliatifs temporaires et ne remplacent pas l'application du patch.

Il est notable que cette CVE-2026-76268 est la seconde vulnérabilité critique RCE dans Splunk Enterprise en 2026. En juin dernier, CVE-2026-20253 (également CVSS 9.8) avait déjà exposé les installations Splunk à une exécution de code à distance sans authentification, via un vecteur différent. Cette récurrence soulève des questions sur les pratiques de développement sécurisé et les processus d'audit de sécurité internes à Splunk. La communauté de sécurité note avec préoccupation que deux vulnérabilités de même sévérité en moins de six mois dans le même produit suggèrent des lacunes systémiques dans la revue de code et les tests de sécurité avant mise en production.

Quand l'outil de détection devient la cible

La compromission d'une plateforme SIEM comme Splunk représente une menace d'une gravité particulière qui va bien au-delà du serveur lui-même. Splunk est précisément l'outil utilisé par les équipes de sécurité pour détecter les intrusions, corréler les événements suspects et investiguer les incidents. Un attaquant qui prend le contrôle d'une instance Splunk compromet simultanément la capacité de détection de l'organisation : il peut lire l'intégralité des logs de sécurité, identifier les règles de détection en place pour les contourner, effacer ses propres traces des indexes, et créer de fausses alertes pour noyer les analystes SOC sous un déluge de faux positifs.

Cette tactique, connue dans le milieu sous le nom de "blinding the defender", est documentée dans les playbooks de plusieurs groupes APT avancés. En 2025, le groupe Volt Typhoon avait déjà ciblé des équipements de sécurité réseau non pas pour les exploiter directement, mais pour désactiver la visibilité défensive avant de pivoter latéralement dans les réseaux critiques. Une RCE dans Splunk offre exactement ce type de capacité.

Pour les organisations soumises à la directive NIS2 ou au règlement DORA (applicable aux entités financières depuis janvier 2025), l'application de correctifs pour des vulnérabilités critiques est une obligation légale assortie de délais stricts. NIS2 impose aux entités essentielles et importantes de mettre en œuvre des mesures de gestion des risques cyber incluant la gestion des vulnérabilités et des mises à jour. Le non-respect peut entraîner des sanctions administratives pouvant atteindre 10 millions d'euros ou 2% du chiffre d'affaires mondial annuel pour les entités essentielles.

La sécurisation des outils de sécurité eux-mêmes doit figurer comme priorité absolue dans toute stratégie de cybersécurité d'entreprise. Un programme de gestion des vulnérabilités rigoureux doit traiter les serveurs Splunk, les passerelles SIEM, les consoles EDR et les infrastructures SOC avec le même niveau d'urgence que les systèmes exposés sur Internet.

Ce qu'il faut retenir

• Patcher immédiatement vers Splunk Enterprise 10.4.3 ou 10.2.7 ; les déploiements en cluster sont prioritaires.
• En attendant le patch, bloquer l'accès au port 8008 de l'API Patroni à tout trafic provenant de machines non membres du cluster.
• Auditer les logs d'accès au port 8008 depuis les 30 derniers jours pour détecter une éventuelle exploitation antérieure à la divulgation.