Каталог Known Exploited Vulnerabilities отличается от обычного списка CVE: запись появляется там при наличии свидетельств реальной эксплуатации. Поэтому CVE-2026-20253 должна двигаться в очереди исправлений выше уязвимостей с большим CVSS, но без доступного пути атаки в конкретной инфраструктуре.
Почему SIEM — особый актив
Splunk часто получает события со всей инфраструктуры, хранит данные об аккаунтах, адресах, алертах и расследованиях. Компрометация такого узла помогает атакующему понять архитектуру защиты, скрыть активность или исказить evidence. Поэтому исправление должно включать проверку целостности, а не только установку патча.
План реагирования
- Определить все Splunk Enterprise-инстансы, версии и внешнюю доступность.
- Применить исправление или mitigation производителя в установленный SLA.
- Ограничить management/API интерфейсы отдельной административной сетью и MFA.
- Проверить изменения ролей, приложений, scripted inputs, search jobs и токенов.
- Сопоставить локальные журналы с независимым хранилищем или upstream-источниками.
- После восстановления провести targeted retest критической функции.
Архитектурный урок
Система наблюдения не должна быть единственным местом, где хранится правда об инфраструктуре. Immutable archive, раздельные административные credentials и независимый контроль целостности уменьшают шанс, что атакующий одновременно выполнит действие и удалит его следы.