Angreifer, die in ein Unternehmensnetzwerk eindringen, vermeiden eines vor allem: entdeckt zu werden. Der effektivste Weg dazu ist nicht, sich besonders leise zu bewegen, sondern das System blind zu machen, das sie beobachten soll. Genau das ermöglicht CVE-2026-20253, eine kritische Schwachstelle in Splunk Enterprise, die seit Mitte Juni aktiv ausgenutzt wird.
Was ist passiert?
Am 10. Juni 2026 veröffentlichte Splunk Sicherheitsupdates für eine kritische Schwachstelle im PostgreSQL-Sidecar-Dienst von Splunk Enterprise. CVE-2026-20253 erlaubt es einem nicht authentifizierten Angreifer, über das Netzwerk ohne gültige Anmeldedaten und ohne Benutzerinteraktion beliebige Dateien auf dem betroffenen System anzulegen oder zu überschreiben. Der CVSS-Score liegt bei 9,8.
Bereits zwei Tage nach dem Patch, am 12. Juni, veröffentlichte das Sicherheitsforschungsteam WatchTowr einen vollständigen technischen Write-up inklusive funktionierendem Proof-of-Concept-Exploit-Code. Drei Tage später, am 15. Juni, wurden erste aktive Angriffe beobachtet. Am 18. Juni bestätigte Splunk selbst die Ausnutzung und die CISA nahm die Schwachstelle noch am selben Tag in ihren Known-Exploited-Vulnerabilities-Katalog auf. US-Behörden erhielten eine Patch-Frist bis zum 21. Juni.
Von der Offenlegung bis zur bestätigten aktiven Ausnutzung vergingen acht Tage.
Warum dieser Angriff besonders gefährlich ist
Splunk ist kein gewöhnliches Unternehmenssystem. Es ist das Werkzeug, mit dem Sicherheitsteams Angriffe erkennen. Die Plattform sammelt Logs aus Firewalls, Endpunkten, Servern, Identitätssystemen und Cloud-Diensten. Sie ist im Einsatz der zentrale Beobachtungspunkt der gesamten IT-Infrastruktur.
Wenn ein Angreifer Splunk kompromittiert, passieren zwei Dinge gleichzeitig:
- Er erlangt Zugriff auf ein System mit außergewöhnlich tiefer Einsicht in die Umgebung
- Er kann die Verteidigungsfähigkeit des Unternehmens aktiv schwächen.
Manipulierte Konfigurationsdateien können Alarmregeln stilllegen. Überschriebene Log-Daten vernichten forensische Spuren. Dienststörungen legen das Monitoring lahm, genau dann, wenn ein Angreifer lateral durch das Netzwerk bewegt.
Das ist kein theoretisches Szenario. Es ist die klassische Vorgehensweise gezielter Angriffe: Erst die Augen des Verteidigers blenden, dann handeln.
Hinzu kommt die technische Angriffsoberfläche: Die Shadowserver Foundation identifizierte über 1.400 Splunk-Instanzen, die weltweit direkt mit dem Internet verbunden sind. Jede davon ist ohne weitere Voraussetzungen angreifbar, sofern kein Patch eingespielt wurde.
Welche Versionen sind betroffen?
Die Schwachstelle betrifft Splunk Enterprise in den Versionen 10.2.0 bis 10.2.3 sowie 10.0.0 bis 10.0.6.
Splunk hat die Versionen 10.2.4 und 10.0.7 als abgesicherte Releases veröffentlicht. Wer bereits auf Version 10.4.0 oder neuer aktualisiert hat, ist ebenfalls geschützt.
Splunk Cloud-Instanzen sind nach Herstellerangaben nicht betroffen, der Fix wurde dort serverseitig eingespielt.
Was Unternehmen jetzt tun sollten
Unternehmen sollten einen sofortiger Versionscheck durchführen und gegebenenfalls ein Update auf eine gesicherte Version anschließen. Wer Splunk Enterprise in einer betroffenen Version betreibt, sollte das als Notfall behandeln. Die Kombination aus öffentlichem PoC-Code und bestätigter aktiver Ausnutzung lässt keinen Spielraum für aufgeschobene Patch-Fenster.
Wenn ein sofortiges Update nicht möglich ist, helfen kompensierende Maßnahmen: Splunk-Instanzen vom öffentlichen Internet trennen, den Zugang auf bekannte IP-Adressen beschränken und einen vorgelagerten VPN- oder Reverse-Proxy-Schutz einrichten. Das reduziert die Angriffsfläche, ersetzt aber den Patch nicht.
Parallel dazu sollten Unternehmen ihre Splunk-Umgebung aktiv auf Kompromittierungsspuren untersuchen. Ungewöhnliche Dateiänderungen im Splunk-Verzeichnis prüfen, Prozessstarts und Netzwerkverbindungen des Splunk-Dienstkontos analysieren und Zugriffsversuche ohne Authentifizierung in den Webserver-Logs der betroffenen Dienste suchen. Wer den PostgreSQL-Sidecar-Dienst nicht zwingend benötigt, sollte prüfen, ob er deaktiviert werden kann.
Für Unternehmen in regulierten Branchen (KRITIS, Finanzwesen, Gesundheitssektor, öffentliche Verwaltung) kommt außerdem hinzu: Wenn die Sicherheits- und Log-Infrastruktur selbst kompromittiert wurde, können Nachweispflichten und Meldeanforderungen nach NIS2 oder BSI-Grundschutz nicht mehr zuverlässig erfüllt werden. Das ist nicht nur ein technisches, sondern ein regulatorisches Problem.
Der blinde Fleck im Security-Monitoring
CVE-2026-20253 zeigt außerdem, warum Security-Monitoring nicht isoliert betrachtet werden sollte. Wird ein SIEM-System selbst kompromittiert oder fällt es aus, braucht es Prozesse und Experten, die Sicherheitsvorfälle dennoch erkennen und bewerten können.
Ein Managed SOC ergänzt die technische Überwachung deshalb um kontinuierliche Analyse, Threat Hunting und die schnelle Reaktion auf Sicherheitsvorfälle. Erfahrene Analysten prüfen verdächtige Aktivitäten, bewerten Auffälligkeiten im Kontext und erkennen auch Angriffe, die automatisierte Alarmregeln allein nicht zuverlässig erfassen. Gerade wenn zentrale Sicherheitskomponenten wie Splunk betroffen sind, kann diese zusätzliche Sichtebene entscheidend sein.
Wenn Sie feststellen möchten, ob Ihre Splunk-Instanz von CVE-2026-20253 betroffen oder bereits kompromittiert wurde, unterstützt Sie DigiFors mit einer gezielten Schwachstellenanalyse, einer forensischen Untersuchung und einem 24/7 Managed SOC für die kontinuierliche Überwachung und schnelle Reaktion auf Sicherheitsvorfälle.
Schnelle Hilfe bei CVE-2026-20253
Wir unterstützen Sie bei der Analyse, Absicherung und Überwachung Ihrer Splunk-Umgebung.
