O Splunk divulgou o CVE-2026-76268, que afeta versões do Splunk Enterprise anteriores a 10.4.3 e 10.2.7. Um atacante não autenticado com acesso de rede à API REST do Patroni em um membro do cluster de search head pode executar comandos do sistema operacional à sua escolha. As versões 10.0.x e 9.4.x não são afetadas.

O que me preocupa neste caso é que a API do Patroni fica exposta sem autenticação para o que o aviso chama de "operações críticas de configuração". Isso não é uma má configuração que você introduziu. É uma decisão de design embutida no produto. Seus controles de perímetro e a segmentação de rede são a única barreira entre um atacante e a execução de comandos no nível do sistema operacional em um nó que, na maioria dos ambientes, tem acesso a dados sensíveis de log e segurança.

Do ponto de vista de IAM, este é um caso clássico de falha de autenticação de conta de serviço e de API. Qualquer API que aceite alterações de configuração deve exigir uma credencial, sem exceção. Nenhuma ressalva para interfaces "internas". Na minha experiência, APIs "internas" como esta são exatamente o ponto onde os atacantes pivotam após ultrapassar o perímetro. A interface do Patroni aparentemente nunca recebeu esse recado. Suas ferramentas de detecção provavelmente também não sabiam monitorá-la, porque ninguém esperava que ela fosse uma superfície de ataque.

Clusters de search head do Splunk não são implantações marginais. São comuns em empresas de médio e grande porte que executam cargas de trabalho de SIEM, o que significa que o raio de impacto aqui pode ser significativo. Se um atacante executar comandos do sistema operacional em um search head, ele pode manipular a ingestão de logs, apagar rastros ou usar o nó como ponto de lançamento. O acesso que o Splunk tem ao restante do seu ambiente torna isso mais grave do que o comprometimento de uma aplicação qualquer.

Se você estiver executando uma versão afetada, aplique o patch para a versão 10.4.3 ou 10.2.7 imediatamente. Enquanto agenda essa janela de manutenção, verifique se a porta da API do Patroni está acessível a partir de algo além dos próprios nós do cluster. A segmentação de rede não corrige a vulnerabilidade, mas reduz a janela de exposição antes que o patch seja aplicado. Após aplicar o patch, analise os logs de acesso do endpoint do Patroni e procure por chamadas inesperadas. Se você não conseguir obter esses logs, esse é um problema separado que vale a pena resolver.