Kibana 安全更新公告（ESA-2026-71）
Kibana CVE-2026-63260 為 Medium 等級的未受控制資源消耗漏洞，具低權限身分的已驗證使用者可能造成 Kibana 記憶體耗盡；建議依官方版本資訊完成升級。
官方公告重點
Kibana 中未受控制的資源消耗可能導致拒絕服務。CWE-400 類型的問題可透過過度配置（CAPEC-130）消耗資源。
具備低權限的已驗證身分使用者可向 Kibana 傳送特製且過大的請求內容；處理這些由使用者提供的輸入需要大量記憶體配置，可能耗盡 Kibana 程序可用的堆積記憶體，使程序當機並對所有使用者無法提供服務。
所有 Kibana 部署皆屬於受影響條件，且此問題需要具備低權限的 Kibana 已驗證身分使用者；詳細受影響版本與修補版本整理於下方。
官方已提供修補版本；對於無法升級的使用者，公告表示沒有可用的因應措施。
官方公告未識別出此漏洞的特定入侵指標。
公告亦說明了 Elastic Cloud Serverless 的處理方式，相關內容整理於下方。
此問題的弱點類型為 CWE-400，影響分類為 CAPEC-130。
影響版本
8.x：8.0.0 至 8.19.18 的所有版本
9.x：9.0.0 至 9.3.7 的所有版本，以及 9.4.0 至 9.4.3 的所有版本
Kibana 9.5.0 及後續版本不受此漏洞影響。
受影響環境
所有 Kibana 部署皆受影響；此問題需要具備低權限的 Kibana 已驗證身分使用者。
建議措施
Kibana 建議升級至安全版本：
- Kibana 8.19.19 / Kibana 9.3.8 / Kibana 9.4.4
Elastic Cloud 環境：
依持續部署與修補模型，Elastic Cloud Serverless 已在公開揭露前完成此漏洞的修補。
本公司高度重視客戶系統安全，已協助多家企業進行版本檢測與升級建議。如需支援或有相關疑問，歡迎與我們聯繫。
