Kibana 安全更新公告（ESA-2026-51）
Kibana CVE-2026-49089 為一嚴重程度為 Medium 的授權繞過漏洞，影響使用 AI Assistant 的 Kibana 8.x 部署。本文說明影響版本與修補措施。
官方公告重點
Kibana 中的透過使用者控制的鍵進行授權繞過（CWE-639）可能導致未經授權的資料修改。在某些條件下，經過身份驗證的使用者可參考其他使用者的 AI Assistant 對話標識符，以存取或修改其不擁有的對話內容。成功利用此漏洞需要知道一個難以猜測的標識符。
影響配置：僅影響使用 AI Assistant 的部署。
攻擊條件：需要具有 AI Assistant 存取權限的身份驗證帳戶。
CVE ID：CVE-2026-49089
問題類型：CWE-639 — 透過使用者控制的鍵進行授權繞過
影響：CAPEC-1 — 存取未經 ACL 適當約束的功能
影響版本
8.x：所有 8.0.0 至 8.16.2 版本
8.x：所有 8.17.0 至 8.17.1 版本
建議措施
Kibana 建議升級至安全版本：
- 8.16.3 / 8.17.2
- 無法升級使用者的建議：此漏洞目前沒有已知的暫時緩解措施。
入侵指標 (IOC)：
目前尚未針對此漏洞識別出特定的 compromised 指標。
Elastic Cloud 環境：
由於 Elastic 的持續部署與修補模式，以下服務已在公開披露前自動修補此漏洞：
- Elastic Cloud Serverless：
此漏洞已在公開披露之前，於 Elastic Cloud Serverless 服務中獲得修補。
本公司高度重視客戶系統安全，已協助多家企業進行版本檢測與升級建議。如需支援或有相關疑問，歡迎與我們聯繫。
