Splunk gehackt? Kritische Schwachstellen ermöglichen Datenklau, RCE und Admin-Angriffe
Splunk Enterprise, Cloud Platform und Secure Gateway sind betroffen. Schon niedrig privilegierte Konten reichen für RCE, XSS, SSRF und Datenexfiltration – mitten im SIEM.
Warnung mitten ins Herz der Sicherheitsinfrastruktur
Die nächste große Warnung trifft Unternehmen mitten ins Herz ihrer Sicherheitsinfrastruktur: Splunk hat mehrere kritische Sicherheitslücken veröffentlicht, die es Angreifern ermöglichen können, sensible Daten abzugreifen, JavaScript-Code einzuschleusen oder im schlimmsten Fall sogar Remote Code Execution (RCE) auszuführen.
Besonders brisant: Für viele der Angriffe reichen bereits niedrig privilegierte Accounts aus. Genau das macht die Sache für Unternehmen so gefährlich. Denn moderne Angriffe starten oft nicht direkt mit Administratorrechten – sondern mit kompromittierten Standardkonten durch Phishing, Info-Stealer oder gestohlene Zugangsdaten aus alten Leaks.
Was genau ist betroffen?
Die Schwachstellen betreffen sowohl Splunk Enterprise als auch Splunk Cloud Platform sowie teilweise die Splunk Secure Gateway App. Mehrere Sicherheitslücken ermöglichen unter anderem:
- Ausführung von Schadcode im Browser anderer Benutzer
- Datenexfiltration aus Dashboards
- Umgehung von Sicherheitsmechanismen
- SSRF-Angriffe auf interne Systeme
- Missbrauch von PDF-Exportfunktionen
- Remote Code Execution über unsichere Deserialisierung
- Zugriff auf sensible Suchergebnisse
- Privilege Escalation durch fehlerhafte Rollenprüfungen
Besonders kritisch ist dabei die Kombination aus klassischen Dashboard-Funktionen und niedrigen Benutzerrechten. Laut den Advisories kann ein einfacher Benutzer manipulierte Dashboards erstellen, die anschließend sensible Daten höher privilegierter Nutzer abgreifen.
Remote Code Execution trotz Low-Privilege
Eine der heftigsten Schwachstellen betrifft die Splunk Secure Gateway App. Hier kann ein Angreifer durch manipulierte JSON-Daten und die Python-Bibliothek „jsonpickle" beliebige Python-Objekte rekonstruieren lassen. Dadurch wird letztlich Remote Code Execution möglich.
Das klingt technisch – bedeutet praktisch aber: Hat ein Angreifer einmal einen einfachen Benutzeraccount in Splunk, kann er unter Umständen kompletten Schadcode auf dem Server ausführen.
Und genau das ist der Albtraum vieler SOC-Teams. Denn Splunk ist häufig das zentrale SIEM-System eines Unternehmens. Dort laufen:
- Security Logs
- Firewall-Daten
- VPN-Verbindungen
- AD-Events
- Endpoint-Telemetrie
- Netzwerkdaten
- Incident-Informationen
Wer Zugriff auf Splunk bekommt, bekommt oft einen vollständigen Überblick über die gesamte Infrastruktur.
Ein kompromittiertes SIEM ist ein Generalschlüssel – Sichtbarkeit und Kontrolle in einem.
Warum das besonders gefährlich ist
Viele Unternehmen behandeln SIEM-Systeme wie reine Monitoring-Tools. In Wahrheit sind sie aber hochkritische Infrastrukturkomponenten mit extrem sensiblen Daten.
Ein kompromittiertes Splunk-System kann Angreifern helfen:
- Sicherheitsmaßnahmen zu umgehen
- Alarme auszuschalten
- Angriffe zu verschleiern
- Credentials abzugreifen
- interne Systeme zu kartieren
- Reaktionsmaßnahmen frühzeitig zu erkennen
Besonders problematisch ist außerdem, dass einige Angriffe lediglich Benutzerinteraktionen benötigen – etwa wenn ein Administrator ein manipuliertes Dashboard öffnet.
Damit werden klassische Social-Engineering-Angriffe plötzlich zu einer direkten Gefahr für Security-Plattformen selbst.
Betroffene Versionen
Laut den veröffentlichten Advisories sind unter anderem folgende Versionen betroffen:
- < 10.2.4
- < 10.0.7
- < 9.4.12
- < 9.3.13
- < 10.3.2512.x
- < 10.2.2510.x
- < 10.1.2507.x
- < 9.3.2411.x
- < 3.10.6
- < 3.9.20
- < 3.8.67
Was Unternehmen jetzt tun sollten
Unternehmen sollten die Schwachstellen nicht unterschätzen und sofort handeln:
- 01Splunk sofort patchen (Enterprise · Cloud · Secure Gateway)
- 02Splunk Secure Gateway prüfen oder deaktivieren
- 03Dashboard Trusted Domains restriktiv konfigurieren
- 04Rollen und Berechtigungen vollständig auditieren
- 05Web-Zugriffe und API-Calls aktiv überwachen
- 06Verdächtige Dashboard-Aktivitäten analysieren
- 07Low-Privilege-Konten stärker absichern (PAM, JIT)
- 08MFA konsequent für alle Splunk-Accounts aktivieren
Außerdem sollte überprüft werden, ob bereits unbekannte Dashboards oder manipulierte Suchanfragen existieren.
Das eigentliche Problem: Sicherheitsplattformen werden selbst zum Angriffsziel
Der Fall zeigt erneut einen massiven Trend der letzten Jahre:
Nicht mehr nur Endgeräte oder Server stehen im Fokus – sondern die Sicherheitswerkzeuge selbst.
SIEMs, EDRs, SOC-Plattformen und Monitoring-Systeme enthalten inzwischen so viele kritische Informationen, dass sie für Angreifer extrem attraktiv geworden sind.
Wer die Security-Werkzeuge kontrolliert, kontrolliert oft die Sichtbarkeit des gesamten Unternehmens.
Und genau deshalb werden Produkte wie Splunk zunehmend zu Hochwert-Zielen für professionelle Angreifergruppen.
SIEM-Härtung & Reaktion – mit Wasacon
Wasacon unterstützt Unternehmen im Kreis Heinsberg dabei, Splunk und andere SIEM/EDR-Plattformen härten zu lassen, Patchprozesse zu strukturieren und Identitäten konsequent abzusichern.
Häufige Fragen
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Mehr aus dem CVE- & Plattform-Schwachstellen-Cluster
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
