Kibana 安全更新公告（ESA-2026-153）
Kibana Fleet 空間授權不足，可能讓跨空間的已驗證使用者讀取其他空間中代理程式的中繼資料與診斷內容，造成資訊揭露。
| 公告編號 | ESA-2026-153（2026-09-03） |
| CVE | CVE-2026-78595 |
| 嚴重等級 | Medium（CVSS 4.3） |
| 弱點類型 | CWE-862 Missing Authorization |
| 受影響版本 | 9.1.0 至 9.4.5 的所有版本 9.5.0 至 9.5.2 的所有版本 Kibana 8.x 版本線不受此漏洞影響，因為 Fleet 空間感知功能預設停用，消除了必要的命名空間邊界條件。 |
| 修補版本 | 9.4.6 / 9.5.3 |
| 因應措施 | 官方表示無可用因應措施，請直接升級 |
| 入侵指標 | 官方未發現此漏洞的特定入侵指標 |
| Elastic Cloud Serverless | 已於公開揭露前完成修補，Serverless 使用者無需採取行動 |
官方公告內容
漏洞說明
Kibana Fleet 功能存在缺少授權（CWE-862），可能透過權限濫用（CAPEC-122）造成資訊揭露。某一 Kibana 空間中持有代理程式讀取層級 Fleet 權限的已驗證使用者，可能列舉其他 Kibana 空間所註冊代理程式的中繼資料，並存取其診斷內容。
受影響環境
已啟用 Fleet 空間感知功能且使用多個 Kibana 空間的 Kibana 部署。受影響 9.x 版本的新安裝預設啟用 Fleet 空間感知；從未設定超過一個 Kibana 空間的部署則不具風險。
安全性建議
▲ 官方已於 9.4.6 / 9.5.3 修正此問題，請儘速升級。
▲ 官方表示此問題沒有因應措施，升級是唯一修補方式。
本公司高度重視客戶系統安全，已協助多家企業進行版本檢測與升級建議。如需支援或有相關疑問，歡迎與我們聯繫，確保您的 Kibana 部署環境持續安全穩定。
