Kibana CVE-2026-78598 漏洞通報與升級建議：影響範圍與修補措施總整理
2026 年 9 月 4 日
Kibana 機器學習工作管理權限可能讓單一 Space 的工作儲存物件被跨所有 Space 存取。
Kibana 機器學習工作管理權限可能讓單一 Space 的工作儲存物件被跨所有 Space 存取。
Kibana Entity Store 缺少授權檢查，低權限 Security 使用者可能以呼叫者身分建立並保存 Elasticsearch API 金鑰。
Windows 上以 unprivileged 模式安裝的 Elastic Agent 權限過寬，本機使用者可能提升至 SYSTEM。
Kibana Entity Store 設定作業缺少授權檢查，高權限使用者可能間接讀取無權存取的 Elasticsearch 索引。
Elasticsearch 自訂推論服務缺少授權檢查，僅具推論執行權限的使用者可能使流量改道並讓管理員佈建的認證資料曝光。
Elasticsearch 在特定 proxy 部署下可能發生 HTTP Request Smuggling，網路攻擊者或可取得其他已驗證使用者的機密回應。
Kibana 不同 authentication realm 若共用相同 username，可能讀取、修改或刪除對方的 Elastic AI Assistant Knowledge Base。
Kibana 機器學習功能以內部服務身分執行讀取操作，僅具該功能讀取權限的使用者可能取得無權讀取的 Elasticsearch 索引資料。
Kibana 的 Streams content packs 對高度壓縮資料處理不當，具管理權限的已驗證使用者可能耗盡記憶體並造成拒絕服務。
