Kibana 安全更新公告（ESA-2026-69）
Kibana Machine Learning 管理端點的授權檢查不足，具備低權限 Machine Learning 存取權的使用者可能修改未獲授權的稽核與通知紀錄。
| 公告編號 | ESA-2026-69（2026-07-21） |
| CVE | CVE-2026-63145 |
| 嚴重等級 | Medium（CVSS 4.3） |
| 受影響版本 | 9.5.x 發行線的使用者不受影響；9.5.0 首個版本已包含此漏洞的修補內容。注意：此漏洞自 Kibana 7.14.0 起導入，使用已停止維護版本且執行 7.14.0 或更新版本的 8.0.0 以前版本使用者也會受影響，應升級至修補版本。 |
| 修補版本 | fixed version. |
| 因應措施 | 官方表示無可用因應措施，請直接升級 |
官方公告內容
漏洞說明
Kibana 的不當授權問題（CWE-863）可能透過未受存取控制清單妥善限制的功能存取（CAPEC-1），破壞 Machine Learning 稽核與通知紀錄的完整性。Machine Learning 管理端點只驗證粗略的權限層級，未確認提出請求的使用者是否有權存取請求中指定的 Machine Learning 工作或通知資源。因此，在任一 Kibana Space 具備 Machine Learning 存取權限的低權限使用者，可能修改任意工作的 Machine Learning 稽核與通知紀錄，包括其他 Space 或其他使用者所屬的工作；這些操作會寫入使用者原本無法直接存取的受限制 Machine Learning 系統索引。
受影響環境
所有啟用 Machine Learning 功能的設定都會受影響；此功能在 Kibana 中預設啟用。
無法升級時的因應措施
此漏洞沒有可用的因應措施。
入侵指標（IOC）
目前未發現此漏洞的特定入侵指標。
Elastic Cloud Serverless
依 Elastic 的持續部署與修補模式，此安全公告所述漏洞在公開揭露前，已於 Elastic Cloud Serverless 服務中完成修補。
安全性建議
▲ 定期檢查並更新 Elastic Stack 各元件版本。
▲ 依最小權限原則限制服務帳號與使用者權限。
本公司高度重視客戶系統安全，已協助多家企業進行版本檢測與升級建議。如需支援或有相關疑問，歡迎與我們聯繫，確保您的 Kibana 部署環境持續安全穩定。
