Kibana 安全更新公告（ESA-2026-147）
Kibana Entity Store 設定作業缺少授權檢查，高權限使用者可能間接讀取無權存取的 Elasticsearch 索引。
| 公告編號 | ESA-2026-147（2026-09-01） |
| CVE | CVE-2026-78601 |
| 嚴重等級 | Medium（CVSS 5.5） |
| 弱點類型 | CWE-862 Missing Authorization |
| 受影響版本 | 9.x：9.4.0 至 9.4.4 的所有版本 Versions prior to 9.4.0, including all 8.x releases, are not affected because the affected functionality did not exist. |
| 修補版本 | 9.4.5 |
| 因應措施 | 官方表示無可用因應措施，請直接升級 |
官方公告內容
漏洞說明
Kibana 的缺少授權問題（CWE-862）可能透過權限濫用（CAPEC-122）造成資訊揭露。Kibana Entity Store 設定作業未套用授權控制，讓具提升 Kibana 權限的已驗證使用者能間接促使背景工作讀取其無權存取的 Elasticsearch 索引。來自那些索引的衍生實體資料，接著會透過 entity store 輸出被揭露。
受影響環境
此漏洞影響同時符合下列所有條件的 Kibana 部署：已啟用 Platinum 或更高訂閱（或同等試用授權）；管理員已啟用 Entity Store v2 功能；且 Entity Store 至少安裝過一次。未全部符合這些條件的部署不受影響。
無法升級時的因應措施
此漏洞沒有可用的因應措施。
入侵指標（IOC）
目前未發現此漏洞的特定入侵指標。
Elastic Cloud Serverless
依 Elastic 的持續部署與修補模式，此安全公告所述漏洞在公開揭露前，已於 Elastic Cloud Serverless 服務中完成修補。
安全性建議
▲ 定期檢查並更新 Elastic Stack 各元件版本。
▲ 依最小權限原則限制服務帳號與使用者權限。
本公司高度重視客戶系統安全，已協助多家企業進行版本檢測與升級建議。如需支援或有相關疑問，歡迎與我們聯繫，確保您的 Kibana 部署環境持續安全穩定。
