Kibana 安全更新公告（ESA-2026-25）
Elastic 官方於 2026 年 4 月 8 日發布安全公告，指出 Kibana Fleet 存在 CVE-2026-33460，可能造成跨 space 的資訊洩露，受影響版本應儘速升級。
官方公告重點
Elastic 表示，Kibana 中的 Incorrect Authorization（CWE-863）問題可能因 Privilege Abuse（CAPEC-122）導致跨 space 的資訊洩露。當使用者在某一個 Kibana space 具備 Fleet agent management privileges 時，可能透過內部 enrollment endpoint 讀取其他 spaces 的 Fleet Server policy details。
官方說明，該端點使用未套用 scope 的 internal client，因而繞過 space-scoped access controls，回傳使用者原本未獲授權存取之 spaces 的 operational identifiers、policy names、management state 與 infrastructure linkage details。
受影響版本包括 8.x 自 8.0.0 起至 8.19.13（含）、9.x 自 9.0.0 起至 9.2.7（含），以及 9.3.0 至 9.3.2（含）的所有版本。受影響部署為啟用 Fleet 且使用 Kibana Spaces 的環境，並需要使用者在至少一個 space 具備 Fleet agent management privileges，且其他 spaces 中存在 Fleet Server policies。
Elastic 已於 8.19.14、9.2.8 與 9.3.3 修復此問題。若無法立即升級，官方建議檢查跨 spaces 的 Fleet role assignments，確認具備 Fleet agent privileges 的使用者是否可被信任以查看所有 spaces 的 Fleet topology，或先將 Fleet privileges 限制給 trusted users。
Indicators of Compromise（IOC）方面，Elastic 建議檢查 Kibana audit logs 中是否存在對 Fleet enrollment settings endpoints 的存取；若僅在特定 spaces 具有 Fleet agent privileges 的使用者出現異常存取模式，可能代表跨 space 列舉嘗試。
針對 Elastic Cloud Serverless，Elastic 表示，由於其持續部署與修補模式，本公告描述的弱點已在公開揭露前完成修補。
影響版本
8.x：8.0.0 至 8.19.13（含）
9.x：9.0.0 至 9.2.7（含）
9.x：9.3.0 至 9.3.2（含）
受影響環境
啟用 Fleet 且使用 Kibana Spaces 的部署環境。
需要使用者在至少一個 space 具備 Fleet agent management privileges，且其他 spaces 中存在 Fleet Server policies。
建議措施
Kibana 建議升級至安全版本：
- 8.19.14 / 9.2.8 / 9.3.3
無法升級者請採以下因應措施：
若短期內無法完成升級，可先依官方建議檢查權限配置與異常存取跡象。
- 檢查跨 spaces 的 Fleet 角色指派：
Review Fleet role assignments across spaces，確認具備 Fleet agent privileges 的使用者是否可被信任以查看所有 spaces 的 Fleet topology。 - 限制 Fleet 權限：
若無法立即升級，可先將 Fleet privileges 限制給 trusted users。
Elastic Cloud 環境：
Elastic 也針對其雲端服務狀態補充說明。
- Elastic Cloud Serverless：
由於持續部署與修補模式，Elastic 表示此安全公告所述弱點已在公開揭露前於 Elastic Cloud Serverless 完成修補。
安全性建議
▲ 儘速升級至 8.19.14、9.2.8 或 9.3.3。
▲ 檢查 Kibana Spaces 中的 Fleet 權限配置，避免不必要的跨 space 可見性。
▲ 檢視 Kibana audit logs 中對 Fleet enrollment settings endpoints 的存取紀錄。
本公司高度重視客戶系統安全，已協助多家企業進行版本檢測與升級建議。如需支援或有相關疑問，歡迎與我們聯繫。
