Kibana 安全更新公告（ESA-2026-35）
Elastic 官方於 2026 年 5 月 28 日發布安全公告，指出 Kibana 的 CVE-2026-42400 可能因特製壓縮請求造成過度記憶體與 CPU 消耗，進而導致服務中斷，建議升級至 8.19.16、9.3.5 或 9.4.2。
官方公告重點
Elastic 指出，Kibana 中的 Uncontrolled Resource Consumption（CWE-400）可能透過 Excessive Allocation（CAPEC-130）導致 denial of service。已驗證使用者可送出特製的壓縮請求 payload，該請求會在授權檢查前先被處理，造成過度的記憶體與 CPU 資源消耗，進而使 Kibana 執行個體失去回應或崩潰。
受影響版本為 8.x 的 8.0.0 至 8.19.15（含）、9.x 的 9.0.0 至 9.3.4（含），以及 9.4.0 至 9.4.1（含）。所有可被已驗證使用者存取的 Kibana 配置都受影響。
Elastic 表示，此問題已在 8.19.16、9.3.5 與 9.4.2 修復。
對於暫時無法升級的使用者，官方表示此弱點沒有可用的 workaround。
官方建議可監控 Kibana 記憶體與 CPU 使用量是否異常升高、Kibana 程序是否出現異常崩潰或重新啟動，以及 access logs 中是否出現異常大量的大型壓縮請求。
Elastic Cloud Serverless 方面，Elastic 表示基於持續部署與修補模式，此弱點已在公開揭露前完成修補。
嚴重性：CVSS v3.1 為 Medium（6.5）；CVE ID：CVE-2026-42400；Problem Type：CWE-400 – Uncontrolled Resource Consumption；Impact：CAPEC-130 – Excessive Allocation。
影響版本
8.x：8.0.0 至 8.19.15（含）
9.x：9.0.0 至 9.3.4（含）
9.4.x：9.4.0 至 9.4.1（含）
受影響環境
所有可被已驗證使用者存取的 Kibana 配置。
建議措施
Kibana 建議升級至安全版本：
- 8.19.16 / 9.3.5 / 9.4.2
無法升級者請採以下因應措施：
對於暫時無法升級的情況，Elastic 另外說明目前可採取的處理方式。
- 目前沒有官方 workaround：
Elastic 明確表示此弱點目前沒有可用的 workaround。
Elastic Cloud 環境：
Elastic 也補充其雲端服務狀態。
- Elastic Cloud Serverless：
由於持續部署與修補模式，Elastic 表示此安全公告所述弱點已在公開揭露前於 Elastic Cloud Serverless 完成修補。
安全性建議
▲ 儘速升級至 8.19.16、9.3.5 或 9.4.2。
本公司高度重視客戶系統安全，已協助多家企業進行版本檢測與升級建議。如需支援或有相關疑問，歡迎與我們聯繫。
