Kibana 安全更新公告（ESA-2026-40）
Elastic 官方於 2026 年 5 月 28 日發布安全公告，指出 Kibana 的 CVE-2026-49093 屬於 SSRF，可能讓具 connector management 權限的已驗證使用者繞過 connector allowlist，向受限目的地發出外連請求。
官方公告重點
Elastic 指出，Kibana 中的 Server-Side Request Forgery（SSRF，CWE-918）問題可能讓具 connector management 權限的已驗證使用者繞過管理員設定的 connector allowlist，進而讓 Kibana server 對原本應該被 egress controls 阻擋的目的地發出外連請求。
受影響版本為 9.x 的 9.3.0 至 9.3.2（含）。此問題適用於將 xpack.actions.allowedHosts 設為非萬用字元值、用來限制 outbound connector connections 的 Kibana 部署；若使用預設的 ["*"] 設定，則不會套用 allowlist，也不受此公告所描述的 bypass 影響。
問題已在 9.3.3 版本修復。若短期內無法升級，官方建議限制 connector management privileges。
Elastic Cloud Serverless 方面，由於其持續部署與修補模式，這項安全公告所述弱點已在公開揭露前完成修補。
嚴重性：CVSS v3.1 為 Medium（6.3）；CVE ID：CVE-2026-49093；Problem Type：CWE-918 – Server-Side Request Forgery（SSRF）。
影響版本
9.x：9.3.0 至 9.3.2（含）
受影響環境
Kibana 部署中將 xpack.actions.allowedHosts 設為非萬用字元值，用來限制外連 connector 連線。
具備 connector management privileges 的已驗證使用者可存取相關功能。
建議措施
Kibana 建議升級至安全版本：
- 9.3.3
無法升級者請採以下因應措施：
若短期內無法升級，可先限制 connector management privileges。
- 限制 connector management privileges：
Review all roles that grant connector management privileges，並在完成升級前僅保留給受信任的管理者。
Elastic Cloud 環境：
Elastic 也補充其雲端服務的處理狀態。
- Elastic Cloud Serverless：
由於持續部署與修補模式，Elastic 表示此安全公告所述弱點已在公開揭露前於 Elastic Cloud Serverless 完成修補。
安全性建議
▲ 儘速升級至 9.3.3。
▲ 若暫時無法升級，限制 connector management privileges。
本公司高度重視客戶系統安全，已協助多家企業進行版本檢測與升級建議。如需支援或有相關疑問，歡迎與我們聯繫。
