Kibana 安全更新公告（ESA-2026-37）
Elastic 官方於 2026 年 5 月 28 日發布安全公告，指出 Kibana 的 CVE-2026-42398 屬於 SSRF，可能讓具 connector management 權限的已驗證使用者繞過連線 allowlist，向受限目的地發出外連請求。
官方公告重點
Elastic 指出，Kibana 中的 Server-Side Request Forgery（SSRF，CWE-918）問題，允許具 connector management privileges 的已驗證使用者繞過管理員設定的 connection allowlist。攻擊者可透過設定帶有刻意構造目標的 Webhook connector，讓 Kibana 向原本應被 egress restriction controls 阻擋的目的地發出外連請求。
受影響版本為 9.x 的 9.0.0 至 9.2.7（含），以及 9.3.0 至 9.3.1（含）。此問題適用於將 xpack.actions.allowedHosts 設為非萬用字元值、用來限制 outbound connector connections 的 Kibana 部署，且已授予使用者 connector management privileges 的環境。
問題已在 9.2.8 與 9.3.2 版本修復。若短期內無法升級，官方建議限制 connector management privileges。
Elastic Cloud Serverless 方面，由於其持續部署與修補模式，這項安全公告所述弱點已在公開揭露前完成修補。
嚴重性：CVSS v3.1 為 High（7.7）；CVE ID：CVE-2026-42398；Problem Type：CWE-918 – Server-Side Request Forgery（SSRF）。
影響版本
9.x：9.0.0 至 9.2.7（含）
9.x：9.3.0 至 9.3.1（含）
受影響環境
Kibana 部署中將 xpack.actions.allowedHosts 設為非萬用字元值，用來限制外連 connector 連線。
已授予使用者 connector management privileges 的環境。
建議措施
Kibana 建議升級至安全版本：
- 9.2.8 / 9.3.2
無法升級者請採以下因應措施：
若短期內無法升級，可先限制 connector management privileges。
- 限制 connector management privileges：
Review all roles that grant connector management privileges，並在完成升級前僅保留給受信任的管理者。
Elastic Cloud 環境：
Elastic 也補充其雲端服務狀態。
- Elastic Cloud Serverless：
由於持續部署與修補模式，Elastic 表示此安全公告所述弱點已在公開揭露前於 Elastic Cloud Serverless 完成修補。
安全性建議
▲ 儘速升級至 9.2.8 或 9.3.2。
▲ 若暫時無法升級，限制 connector management privileges。
本公司高度重視客戶系統安全，已協助多家企業進行版本檢測與升級建議。如需支援或有相關疑問，歡迎與我們聯繫。
