ثغرة حرجة في Splunk Enterprise: CISA تأمر بالتحديث خلال أيام وسط هجمات نشطة

أبرز النقاط

• ثغرة CVE-2026-20253 تسمح بتنفيذ أكواد خبيثة عن بُعد دون الحاجة لصلاحيات
• أكثر من 1,400 خادم Splunk مكشوف على الإنترنت معظمها في أمريكا الشمالية
• CISA تمنح الوكالات الفيدرالية مهلة حتى الأحد فقط للتحديث

أصدرت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) أمراً عاجلاً للوكالات الفيدرالية بتحديث أنظمة Splunk Enterprise قبل يوم الأحد المقبل، وذلك بعد رصد استغلال نشط لثغرة حرجة تتيح للمهاجمين تنفيذ أكواد خبيثة عن بُعد دون الحاجة لأي صلاحيات مسبقة.

الثغرة المُرقّمة CVE-2026-20253 تصيب الإصدارات من 10.2.0 حتى 10.2.3 ومن 10.0.0 حتى 10.0.6 من Splunk Enterprise، وتكمن خطورتها في غياب ضوابط المصادقة على واجهة خدمة PostgreSQL الجانبية، مما يتيح لأي مستخدم يصل للشبكة إنشاء ملفات أو حذفها على الأجهزة المصابة.

ما الذي يجعل هذه الثغرة خطيرة إلى هذا الحد؟

أوضح فريق أمن Splunk في نشرته الأمنية أن الثغرة تنبع من عدم وجود أي آلية للتحقق من هوية المستخدم عند الوصول لواجهة PostgreSQL، وهو ما يعني أن أي جهة على الشبكة تستطيع تنفيذ عمليات على الملفات دون تقديم بيانات اعتماد. والأسوأ أن شركة WatchTowr نشرت في 12 يونيو تحليلاً تقنياً مفصلاً مع كود استغلال تجريبي يثبت إمكانية تحويل هذه الثغرة إلى هجمات تنفيذ أكواد عن بُعد (RCE).

لا تتوفر بيانات دقيقة حول عدد الخوادم المكشوفة التي لا تزال تعمل بإصدارات مصابة، لكن الرقم الإجمالي يعكس سطح هجوم واسعاً يستدعي تحركاً سريعاً من فرق الأمن.

لماذا منحت CISA مهلة قصيرة للغاية؟

جاء أمر CISA ضمن التوجيه التشغيلي الملزم BOD 26-04 الصادر الأسبوع الماضي، والذي يُلزم الوكالات الفيدرالية بترتيب أولويات التحديث بناءً على مستوى خطورة الاستغلال الفعلي. وأشارت الوكالة إلى أن هذا النوع من الثغرات يُعدّ ناقل هجوم متكرراً للجهات الخبيثة ويشكل خطراً جسيماً على المؤسسات الحكومية.

المفارقة اللافتة أن Splunk Enterprise هو نظام SIEM يُستخدم أساساً لرصد التهديدات وتحليل السجلات الأمنية، فإذا أصبح هو نفسه نقطة اختراق، تتحول أداة الحماية إلى ثغرة في الدرع.

ما خيارات التخفيف لمن لا يستطيع التحديث فوراً؟

قدّم فريق Splunk حلاً مؤقتاً يتمثل في تعطيل خدمة PostgreSQL الجانبية لإزالة سطح الهجوم بالكامل. لكن الشركة حذّرت بوضوح من أن هذا الإجراء سيُعطّل خطوط بيانات Edge Processor وOpAmp وSPL2 على الأنظمة المتأثرة، مما يعني تضحية بوظائف حيوية مقابل الأمان المؤقت.

• التحديث الفوري إلى الإصدارات المُرقّعة هو الحل الأمثل والموصى به
• تعطيل خدمة PostgreSQL كحل مؤقت مع الانتباه لتأثيره على خطوط البيانات
• مراجعة تعرض خوادم Splunk للإنترنت والحد من الوصول الخارجي غير الضروري
• تفعيل مراقبة مكثفة لأي نشاط مشبوه على الأنظمة قبل التحديث

ما الدلالات للمنطقة العربية ومؤسسات الخليج؟

تنتشر منصة Splunk في مراكز البيانات الحكومية والمصرفية والنفطية عبر دول الخليج، حيث تُستخدم كعمود فقري لعمليات مراكز العمليات الأمنية (SOC). وبينما لا تُلزم توجيهات CISA المؤسسات خارج الولايات المتحدة، فإن الاستغلال النشط يعني أن أي خادم Splunk مكشوف — بصرف النظر عن موقعه الجغرافي — هدف محتمل. فرق الأمن في المنطقة مطالبة بالتعامل مع هذا التحذير بالجدية ذاتها.

الأسئلة الشائعة

ما هي ثغرة CVE-2026-20253 في Splunk Enterprise؟

ثغرة أمنية حرجة في واجهة خدمة PostgreSQL الجانبية تتيح لمهاجم غير مصادق إنشاء ملفات أو حذفها على الخادم، ويمكن استغلالها لتنفيذ أكواد خبيثة عن بُعد.

ما الإصدارات المتأثرة من Splunk Enterprise؟

الإصدارات من 10.2.0 إلى 10.2.3 والإصدارات من 10.0.0 إلى 10.0.6.

هل يؤثر تعطيل PostgreSQL على عمل Splunk؟

نعم، تعطيل الخدمة سيُوقف خطوط بيانات Edge Processor وOpAmp وSPL2، لذا يُنصح بالتحديث بدلاً من التعطيل متى أمكن.

هل المؤسسات خارج أمريكا معرّضة لهذه الثغرة؟

نعم، الاستغلال النشط يستهدف أي خادم Splunk مكشوف على الإنترنت بصرف النظر عن موقعه الجغرافي.