CISA ha lanciato un allarme urgente su una vulnerabilità critica di Splunk Enterprise, identificata come CVE-2026-20253, dopo aver raccolto prove di uno sfruttamento attivo in attacchi reali. La falla è stata inserita nel catalogo Known Exploited Vulnerabilities (KEV) appena pochi giorni dopo la divulgazione pubblica, segno di quanto rapidamente gli attaccanti si siano mossi.
Il difetto tecnico
La vulnerabilità rientra nella categoria CWE-306, ovvero l'assenza di autenticazione per una funzione critica. In pratica, un endpoint esposto da un servizio sidecar PostgreSQL non verifica l'identità di chi invia le richieste: un attaccante privo di credenziali valide può così creare file arbitrari sul sistema oppure troncarli, cioè azzerarne il contenuto. Non serve alcun accesso preventivo né l'inganno di un utente legittimo.
Le conseguenze possono andare ben oltre il semplice danneggiamento dei dati. Manipolando i file di sistema un aggressore può alterare le pipeline di logging, interrompere la raccolta degli eventi e, a seconda della configurazione del deployment, aprire la strada a un'escalation dei privilegi.
Perché colpire Splunk è particolarmente grave
Splunk non è un software qualsiasi: è uno degli strumenti più diffusi nei centri operativi di sicurezza (SOC), negli ambienti SIEM e nelle infrastrutture di aggregazione dei log. È, in altre parole, l'occhio con cui molte organizzazioni osservano la propria rete. Compromettere proprio questo strumento significa colpire la capacità stessa di vedere gli attacchi: un avversario che riesce a manomettere i log può cancellare le tracce delle proprie azioni e accecare i team di difesa, con effetti a catena su rilevamento e risposta agli incidenti.
I tempi: patch disponibile, attacchi immediati
Splunk ha rilasciato le correzioni il 10 giugno, invitando i clienti ad aggiornare alle versioni 10.4.0, 10.2.4 e 10.0.7 o successive. Pochi giorni dopo la pubblicazione, però, sono già comparsi gli attacchi. È la conferma di una tendenza ormai consolidata: la finestra tra la divulgazione di una falla e il suo sfruttamento di massa si è ridotta a giorni, talvolta a ore, e affidarsi a cicli di patching lenti non è più sostenibile.
La risposta di CISA e cosa fare
CISA ha aggiunto CVE-2026-20253 al catalogo KEV il 18 giugno 2026, fissando per le agenzie federali statunitensi un termine di remediation al 21 giugno 2026 ai sensi della Binding Operational Directive 26-04, che impone tempi di intervento particolarmente stretti per le vulnerabilità già sfruttate.
Le organizzazioni che utilizzano Splunk Enterprise dovrebbero applicare gli aggiornamenti senza indugio e, dato che la falla è non autenticata e già sfruttata, dare per scontato un possibile tentativo di compromissione: è opportuno ispezionare i log alla ricerca di creazioni o troncamenti di file anomali, verificare l'integrità delle pipeline di raccolta degli eventi e limitare l'esposizione in rete dei servizi di gestione. Quando lo strumento di monitoraggio diventa esso stesso il bersaglio, la tempestività della patch è la prima e più importante linea di difesa.
