CVE-2026-76404: Kritisk fejl i Splunk MCP Server

CVE-2026-76404 er en sårbarhed i Splunk MCP Server app i versioner under 1.2.1. Fejlen ligger i den del af appen, der håndterer gemte adgangsoplysninger. Her sker der deserialisering, det vil sige at gemt data bliver omdannet tilbage til programkode, uden at appen kontrollerer om dataen er af den forventede type. Det betyder, at en bruger med rollen ‘admin’ i Splunk kan indsætte data, der i stedet for at blive læst som legitime adgangsoplysninger, bliver eksekveret som kommandoer direkte på det underliggende styresystem.

Sårbarheden rammer virksomheder og kommuner, der har installeret Splunk MCP Server app i en version under 1.2.1. Det er relevant for organisationer, der bruger Splunk til overvågning og logstyring, og hvor der findes brugere med Splunk-rollen ‘admin’. Både interne administratorer og en angriber, der har fået fat i en admin-konto, kan udnytte fejlen.

En admin-bruger, eller en angriber der har overtaget en admin-konto, kan eksekvere vilkårlige kommandoer på serveren, hvor Splunk kører. I praksis betyder det, at angriberen kan installere skadelig kode, læse eller ændre data på hele serveren, og bruge serveren som springbræt videre ind i jeres netværk. For en dansk virksomhed kan konsekvensen være tab af logdata, spredning til andre systemer og et sikkerhedsbrud, der skal undersøges og anmeldes.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kan ske over netværket og kræver ikke, at en bruger klikker på noget eller bliver narret. Der kræves dog høje privilegier, altså at angriberen allerede har eller har overtaget en admin-konto i Splunk. Har angriberen først det, er angrebet enkelt at udføre og kan påvirke fortrolighed, integritet og tilgængelighed fuldt ud, og fejlen kan sprede sig ud over selve appen til resten af serveren. Der er ingen offentlige oplysninger om, at sårbarheden aktivt udnyttes.

Sådan lukker I hullet og begrænser risikoen:

1. Opdatér Splunk MCP Server app til version 1.2.1 eller nyere. Det fjerner selve fejlen.
2. Gennemgå, hvilke brugere der har Splunk-rollen ‘admin’, og fjern rollen fra konti, der ikke har brug for den.
3. Skift adgangskoder på admin-konti, hvis I er i tvivl om, om nogen konti kan være kompromitteret.
4. Gennemgå logs for uventet kommandoafvikling eller mistænkelig aktivitet fra admin-konti i perioden, hvor jeres system har kørt en sårbar version.
5. Begræns netværksadgangen til Splunk-serveren, så den kun kan tilgås fra betroede systemer, mens I opdaterer.
6. Hvis I ikke selv kan verificere opdateringen eller finde tegn på misbrug, bør I få hjælp fra en sikkerhedsrådgiver.