Kibana 安全更新公告（ESA-2026-70）
Kibana CVE-2026-63259 為 Medium 等級的使用者可控索引鍵授權繞過漏洞，特定 Kibana Spaces 設定可能造成未經授權的排程查詢結果資訊揭露；建議依官方版本資訊完成升級。
官方公告重點
Kibana 中透過使用者可控制的索引鍵繞過授權可能導致資訊揭露。CWE-639 類型的問題可讓由使用者提供的識別碼參照其無權存取的 Kibana Space 排程查詢結果資料。
受影響條件是已設定 Osquery Manager 整合及多個 Kibana Spaces 的 Kibana 部署；詳細受影響版本與修補版本整理於下方。
包含此問題的排程查詢結果擷取功能自 Kibana 9.4.0 引入，先前的發行線沒有此功能；9.5.x 發行線則已在首個版本納入修補。
官方已提供修補版本；對於無法升級的使用者，公告表示沒有可用的因應措施。
官方公告未識別出此漏洞的特定入侵指標。
公告亦說明了 Elastic Cloud Serverless 的處理方式，相關內容整理於下方。
此問題的弱點類型為 CWE-639。
影響版本
9.x：9.4.0 至 9.4.3 的所有版本
8.x 及 9.0.x 至 9.3.x 發行線不受此漏洞影響；包含此問題的排程查詢結果擷取功能自 9.4.0 引入。
9.5.x 發行線不受此漏洞影響；首個版本 9.5.0 已納入修補。
受影響環境
已設定 Osquery Manager 整合及多個 Kibana Spaces 的 Kibana 部署。
建議措施
Kibana 建議升級至安全版本：
- 9.4.4
Elastic Cloud 環境：
依持續部署與修補模型，Elastic Cloud Serverless 已在公開揭露前完成此漏洞的修補。
本公司高度重視客戶系統安全，已協助多家企業進行版本檢測與升級建議。如需支援或有相關疑問，歡迎與我們聯繫。
