Kibana 安全更新公告（ESA-2026-38）
Elastic 官方於 2026 年 5 月 28 日發布安全公告，指出 Kibana Fleet 的 CVE-2026-49095 可能導致權限提升，建議升級至 8.19.16、9.3.5 或 9.4.2。
官方公告重點
Elastic 指出，Kibana Fleet agent policy management 功能存在 Improper Input Validation（CWE-20）問題，可能導致 privilege escalation。具 Fleet management privileges 的已驗證使用者可藉由注入值，操控未充分驗證的 configuration override 機制；攻擊者甚至可能讓 Elastic Agents 取得具有較高 Elasticsearch 權限的 API keys，進而取得超出 Fleet 管理角色原本預期的敏感 Elasticsearch security indices 讀寫權限。
受影響版本為 8.x 的 8.0.0 至 8.19.15（含），9.x 的 9.0.0 至 9.3.4（含），以及 9.4.0 至 9.4.1（含）。此問題適用於啟用 Fleet 功能，且已授予使用者 Fleet management application privilege（fleet-all）的 Kibana 部署。
問題已在 8.19.16、9.3.5 與 9.4.2 版本修復。若短期內無法升級，官方建議限制 fleet-all Kibana application privilege。
Elastic Cloud Serverless 方面，由於其持續部署與修補模式，這項安全公告所述弱點已在公開揭露前完成修補。
嚴重性：CVSS v3.1 為 High（7.2）；CVE ID：CVE-2026-49095；Problem Type：CWE-20 – Improper Input Validation。
影響版本
8.x：8.0.0 至 8.19.15（含）
9.x：9.0.0 至 9.3.4（含）
9.x：9.4.0 至 9.4.1（含）
受影響環境
啟用 Fleet 功能，且已授予使用者 Fleet management application privilege（fleet-all）的 Kibana 部署。
建議措施
Kibana 建議升級至安全版本：
- 8.19.16 / 9.3.5 / 9.4.2
無法升級者請採以下因應措施：
若短期內無法升級，可先限制 fleet-all Kibana application privilege。
- 限制 fleet-all 權限：
Review all roles that grant the fleet-all Kibana application privilege，並在完成升級前僅保留給受信任的管理者。
Elastic Cloud 環境：
Elastic 也補充其雲端服務狀態。
- Elastic Cloud Serverless：
由於持續部署與修補模式，Elastic 表示此安全公告所述弱點已在公開揭露前於 Elastic Cloud Serverless 完成修補。
安全性建議
▲ 儘速升級至 8.19.16、9.3.5 或 9.4.2。
▲ 若暫時無法升級，限制 fleet-all Kibana application privilege。
本公司高度重視客戶系統安全，已協助多家企業進行版本檢測與升級建議。如需支援或有相關疑問，歡迎與我們聯繫。
