SonicWall en Splunk hebben deze week patches aangekondigd voor meerdere kritieke kwetsbaarheden gepatcht in hun producten. Voor organisaties die deze systemen gebruiken in monitoring, logging of netwerktoegang is het belangrijk om de updates snel te beoordelen en door te voeren. In de advisories ligt de nadruk op issues die (zonder juiste voorwaarden) kunnen leiden tot onbedoelde toegang, code-executie of misbruik via interne routes.
Er is geen aanwijzing dat de door SonicWall en Splunk behandelde problemen al actief worden misbruikt in het wild, maar dat betekent niet dat je kunt wachten. Bij kwetsbaarheden met een hoge impact is tijdige patching meestal de beste manier om risico te beperken.
Wat SonicWall patcht aan de SMA1000
SonicWall rolt fixes uit voor vier kwetsbaarheden in de SMA1000-appliances. Het advies is om zo snel mogelijk te upgraden naar versie 12.5.0-03082 of 12.4.3-03670. Daarmee verhelp je meerdere securityproblemen in dezelfde productfamilie, wat het implementeren van beheerswerk ook overzichtelijker maakt.
CVE-2026-102255: pre-auth SSRF met CVSS 10
De meest urgente issue is CVE-2026-102255, met een CVSS-score van 10. Dit gaat om een SSRF-kwetsbaarheid (Server-Side Request Forgery) die al kan worden misbruikt voordat een aanvaller authenticeert. De oorzaak is een onbedoelde alternate access path, waardoor de appliance verzoeken kan doen op manieren die niet zijn bedoeld.
SonicWall licht toe dat een remote, ongeauthenticeerde aanvaller de functionaliteit kan misbruiken om de appliance namens de aanvaller verzoeken te laten uitsturen. Vervolgens kan dat leiden tot het bereiken van interne functionaliteit en het uitvoeren van ongeautoriseerde acties.
Andere fixes: RCE en XSS
Naast SSRF worden ook twee high-severity en één medium-severity kwetsbaarheid opgelost. Voor de high-severity issues gaat het om scenario’s die kunnen leiden tot remote code execution (RCE) en XSS-aanvallen (Cross-Site Scripting). Ook al zijn deze niet allemaal met dezelfde hoogste ernstscore gemarkeerd, ze verdienen wel dezelfde patch-urgentie omdat ze direct aanvalsoppervlak vergroten.
Belangrijke nuancering: SSL-VPN is niet geraakt
SonicWall geeft expliciet aan dat er geen bewijs is gevonden dat de betreffende kwetsbaarheden uit deze release al worden misbruikt in de praktijk. Daarnaast is er een belangrijke uitzondering: SSL-VPN op SonicWall Firewall-producten is volgens de fabrikant niet getroffen door deze specifieke SSRF-kwetsbaarheid.
Dat neemt niet weg dat je wel moet kijken naar welk product en welke versie je precies draait. Gebruik daarom altijd de release notes of de security advisory om te bepalen of jouw appliance onder de scope valt.
Splunk-updates: tientallen fixes voor Enterprise, MCP Server en AWS Add-on
Waar SonicWall zich richt op SMA1000, meldt Splunk dat er patches zijn voor meerdere securityproblemen in Splunk Enterprise, MCP Server en Splunk Add-on for Amazon Web Services. Volgens de aankondiging gaat het om dozens aan kwetsbaarheden, inclusief issues met een kritieke en hoge ernst.
Kritieke bugs in Splunk Enterprise
Splunk beschrijft dat de update drie critical-severity problemen oplost die kunnen worden misbruikt voor:
- arbitrary command execution (ongeautoriseerde commando-uitvoering),
- unauthorized access (ongeautoriseerde toegang),
- en code injection (code-injectie).
Dit soort kwetsbaarheden zijn vaak extra riskant omdat ze impact kunnen hebben op de integriteit van systemen en de vertrouwelijkheid van gegevens. Daarom is het verstandig om niet alleen te patchen, maar ook te checken of er indicatoren zijn voor misbruik rondom logging- of beheerfunctionaliteit.
MCP Server: API-instellingen aanpassen naar een aanvaller-URL
Voor MCP Server vermeldt Splunk een medium-severity defect dat kan toestaan dat een geauthenticeerde gebruiker API-instellingen wijzigt, zodat verzoeken naar een URL onder controle van een aanvaller kunnen worden gestuurd. In veel omgevingen is “geauthenticeerd” niet per se veilig, omdat insiders of gecompromitteerde accounts eveneens misbruik kunnen maken.
Ook patches voor componenten en third-party packages
Splunk geeft verder aan dat er ook kwetsbaarheden zijn gerepareerd in third-party packages die in Splunk Enterprise voorkomen, evenals in de Splunk Add-on for Amazon Web Services. Voor implementatie betekent dit: volg niet alleen de hoofdupdate, maar controleer ook of je add-ons en aanvullende componenten in dezelfde onderhoudsronde meeneemt.
Meer details staan in de security advisories van Splunk, die je kunt gebruiken om exact te zien welke versies geraakt zijn en welke upgradepaden gelden.
Waarom dit voor jouw omgeving direct relevant is
Updates voor monitoring- en perimetercomponenten lijken soms “achteraf werk” in een patchcyclus, maar hier gaat het om kwetsbaarheden met een duidelijke kans op misbruik. Dat geldt in het bijzonder voor pre-auth SSRF en voor issues die kunnen leiden tot command execution of code-injectie.
Als jouw organisatie gebruikmaakt van SonicWall-appliances voor externe toegang of verbindingen, en Splunk voor centrale logging en analyse, dan beïnvloedt dit direct de plek waar detectie en response samenkomen. Bovendien kunnen aanvallers via SSRF of injectie proberen hun sporen te verdoezelen of laterale beweging te versnellen.
Wat je nu praktisch kunt doen
Om snel en gestructureerd te handelen, kun je de volgende stappen nemen:
- Inventariseer welke SonicWall SMA1000-modellen en versies je gebruikt.
- Inventariseer welke Splunk-componenten draaien (Splunk Enterprise, MCP Server en eventuele AWS add-ons) en in welke versie.
- Plan de upgrade voor de meest kritieke systemen eerst, met aandacht voor afhankelijkheden.
- Beoordeel na patching of er aanwijzingen zijn voor misbruik (bijvoorbeeld ongebruikelijke verzoekpatronen of verdachte beheeractiviteiten).
Door te beginnen met de meest urgente fixes, pak je het grootste risicogebied het eerst aan. Zeker bij problemen met een CVSS-score van 10 is dat een logische prioriteit.
Context: vaker patchen dan alleen “de laatste update”
Deze aankondiging past in een bredere trend: leveranciers brengen regelmatig updates uit voor componenten die in verschillende delen van je infrastructuur doorwerken. Dat zie je ook terug in andere recente berichtgeving, zoals over kwetsbaarheden bij routers of browsers. Zo werd bijvoorbeeld recent aandacht gevraagd voor router-issues en security scrutiny bij TP-Link, naast patchberichten voor andere platformen. Je vindt die achtergrond hier: TP-Link routers en security scrutiny.
Het punt blijft hetzelfde: patching is niet alleen een IT-taak, maar een onderdeel van je securitystrategie. Leg daarom koppelingen vast tussen assetmanagement, logging en incidentrespons, zodat je niet pas reageert wanneer er al schade is.
Conclusie
SonicWall en Splunk hebben updates uitgebracht voor een reeks kwetsbaarheden, waaronder CVE-2026-102255 bij SonicWall met een CVSS 10-score. Daarnaast bevat de Splunk-release meerdere kritieke problemen in Splunk Enterprise en patches voor MCP Server en de AWS add-on. Omdat deze fixes te maken hebben met SSRF, RCE, command execution en code-injectie, is het verstandig om de kritieke kwetsbaarheden gepatcht-actie nu op te nemen in je eerstvolgende onderhoudsvenster.
Heb je mijn advies? Begin met het bepalen van je versies en scopes, upgrade vervolgens de systemen met de hoogste impact en controleer na implementatie op verdachte signalen. Zo verklein je het risico dat aanvallers profiteren van dezelfde gaten.
Bron: https://www.securityweek.com/sonicwall-and-splunk-patch-critical-vulnerabilities/
