Kibana 安全更新公告（ESA-2026-66）
Elastic 官方於 2026 年 7 月 21 日發布 Kibana 安全公告，指出 Reporting 功能存在不完整的禁止輸入清單漏洞（CVE-2026-63142），風險等級為 Medium，建議受影響版本使用者確認網路政策並升級。
官方公告重點
Elastic 公告指出，Kibana 存在不完整的禁止輸入清單問題（CWE-184），可能讓具備 Reporting 功能存取權的已驗證身分使用者避開管理員設定的對外請求限制，使報表服務向安全政策原本應拒絕的網路目的地送出請求。
此問題與 Reporting 功能的網路限制設定有關；未在 screenshotting 網路政策中設定自訂主機對外請求限制的 Kibana 實例，不受此問題影響。官方指出，無法升級的使用者沒有可用的替代措施。
影響版本
8.x：8.0.0 至 8.19.18 的所有版本
9.x：9.0.0 至 9.3.7 的所有版本
9.4.x：9.4.0 至 9.4.3 的所有版本
9.5.x 不受影響；修補內容已在初始版本 9.5.0 公開前納入
受影響環境
啟用 Reporting 功能，且管理員在 screenshotting 網路政策中設定主機型拒絕規則的 Kibana 部署。
未在 screenshotting 網路政策中設定自訂主機型對外請求限制的 Kibana 實例不受影響。
建議措施
Kibana 建議升級至安全版本：
- Kibana 8.19.19 / Kibana 9.3.8 / Kibana 9.4.4
Elastic Cloud 環境：
依 Elastic 的持續部署與修補模式，Elastic Cloud Serverless 已在此安全公告公開前完成修補。
本公司高度重視客戶系統安全，已協助多家企業進行版本檢測與升級建議。如需支援或有相關疑問，歡迎與我們聯繫。
