チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「ログ基盤やセキュリティ製品自体に穴があるって、どう守ればいいんでしゅか？」
「CVSS 9.8と聞いても、自社が今すぐ何をすべきか分からず焦るんでしゅ……」
チップスSplunkもPalo Altoも、守る側の製品でしゅよね？それが狙われるんでしゅか……。
ボスふふふ、守りの要こそ狙われる。今回はSplunkに認証なしで悪用できる致命的な穴が見つかった。優先順位を押さえれば、慌てず対応できるぞ。
本記事では、SplunkとPalo Alto Networksが公開した重大脆弱性の修正について、何が危険で、どこから対応すべきかを整理します。
読み終える頃には、セキュリティ製品の脆弱性に優先順位をつけて対応する着眼点が手に入ります。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
まずは何が修正され、どれが危険なのかを整理します。
最も深刻なのは、Splunk EnterpriseのCVE-2026-20253（CVSS 9.8）です。
認証のないPostgreSQLサイドカーのエンドポイントを突くことで、ネットワークに到達できる者なら認証情報なしで任意ファイルの作成や切り詰めができてしまいます。
Splunkはこのほかにも、リモートコード実行やSSRF、XSSにつながる高深刻度の3件を含む複数の不具合を修正しました。
Palo Alto Networksも、Cortex XSOAR/XSIAMの認証情報検証不備（CVE-2026-0274）など、PAN-OSやGlobalProtect Appにまたがる複数の脆弱性に対応しています。
主な脆弱性は以下のとおりです。
| 製品 | 内容 |
|---|---|
| Splunk Enterprise | CVE-2026-20253（CVSS 9.8）認証なしで任意ファイル作成・切り詰め |
| Splunk（その他） | RCE・SSRF・XSSにつながる高深刻度3件ほか |
| Cortex XSOAR/XSIAM | CVE-2026-0274 認証情報の検証不備で保護リソースに不正アクセス |
| Palo Alto（その他） | PAN-OS・GlobalProtect Appなどで中・低深刻度8件 |
| 悪用状況 | いずれも実環境での悪用は未確認 |
チップスネットワークから届くだけで、認証なしにファイルを書けちゃうんでしゅか……怖いでしゅ。
ボスそこがCVSS 9.8たるゆえんだ。悪用はまだ確認されていないが、攻撃者が解析を始める前に塞ぐのが鉄則だな。
なぜ守る側の製品の脆弱性が痛いのかを掘り下げます。
SplunkやPalo Altoの製品は、ログ集約や監視・対処の中枢を担います。
そこを奪われると、攻撃の隠蔽や横展開の足がかりにされ、被害が一気に広がりかねません。
とくにCVE-2026-20253は認証不要で深刻度も最大級のため、インターネットや広い社内網に露出している環境から優先して対応すべきです。
悪用が未確認のうちに塞げるかどうかが、被害の有無を分ける分岐点になります。
対応を進める際の優先順位は次のとおりです。
チップス全部いっぺんは無理だから、危ないものと露出してるものから順番にでしゅね。
ボスそういうことだ。深刻度と露出を掛け合わせて優先順位を決めれば、限られた人手でも被害を防げるぞ。
SplunkのCVE-2026-20253は認証なしで悪用できる致命的な脆弱性で、Palo Alto側も複数の修正が公開されました。
いずれも実環境での悪用は未確認ですが、攻撃者が解析を始める前に、深刻度と露出の高いものから塞ぐことが肝心です。
セキュリティ製品は守りの要だからこそ、自社の対象資産を洗い出し、優先順位をつけて素早くパッチを当てる運用が求められます。
こうした脆弱性管理やインシデント対応の現場に挑みたい方は、ぜひセキュリティフリーランス案件で実践の場を広げてみてください。
参考: SecurityWeek「Splunk, Palo Alto Networks Patch Severe Vulnerabilities」
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
