Kibana 安全更新公告（ESA-2026-73）
Kibana CVE-2026-63262 為 Medium 等級的缺少授權漏洞，特定多空間 SLO 環境可能出現未經授權的跨空間資訊揭露；建議依官方版本資訊完成升級。
官方公告重點
Kibana 中缺少授權檢查可能導致資訊揭露。CWE-862 類型的問題可讓由使用者提供的輸入繞過空間層級存取控制，造成未經授權的跨空間資訊揭露。
受影響條件是啟用 Service Level Objectives（SLO）功能的多空間 Kibana 部署；在至少一個 Kibana Space 持有 slo_read 權限的已驗證身分使用者，可能觸發此問題。
公告列出受影響版本與修補版本，詳細範圍整理於下方。
官方已提供修補版本；對於無法升級的使用者，公告表示沒有可用的因應措施。
官方公告未識別出此漏洞的特定入侵指標。
公告亦說明了 Elastic Cloud Serverless 的處理方式，相關內容整理於下方。
此問題的弱點類型為 CWE-862。
影響版本
9.4.x：9.4.0 至 9.4.3 的所有版本
8.x 不受此漏洞影響；包含此漏洞的 SLO health scan 功能自 Kibana 9.4.0 引入，8.x 沒有此功能。
9.5.x 不受此漏洞影響；修補已包含於 9.5.0。
受影響環境
啟用 Service Level Objectives（SLO）功能的多空間 Kibana 部署。
至少一個 Kibana Space 具有 slo_read 權限的已驗證身分使用者。
建議措施
Kibana 建議升級至安全版本：
- 9.4.4
Elastic Cloud 環境：
依持續部署與修補模型，Elastic Cloud Serverless 已在公開揭露前完成此漏洞的修補。
本公司高度重視客戶系統安全，已協助多家企業進行版本檢測與升級建議。如需支援或有相關疑問，歡迎與我們聯繫。
