Elastic публикува 14 бюлетина за сигурност, покриващи Elasticsearch, Kibana и Elastic Agent/Endpoint, включително уязвимост с висока степен на опасност в Kibana, която позволява на делегирани потребители във Fleet да прихващат данни на други потребители или екипи.

Уязвимостта в Kibana е проследявана като CVE-2026-102406 и има CVSS оценка 8.8. Тя засяга процеса по инсталиране на пакети във Fleet, който не успява да потвърди собствеността, преди да приложи качените настройки за интеграция към съществуващ поток от данни.

Атакуващ с разрешение за инсталиране на персонализирани Fleet пакети би могъл да заяви идентификатор на поток от данни, вече използван от друг потребител или екип (tenant), без да са му необходими директни администраторски права за Elasticsearch.

След това Fleet може да приложи настройките на атакуващия за индекса и пайплайна за въвеждане на данни (ingest pipeline) към съществуващата инфраструктура. Това позволява на новопостъпилата информация да преминава през инфраструктура, контролирана от атакуващия, излагайки я на неоторизиран достъп и модификация, докато същевременно спира доставката до първоначално предназначеното местоназначение.

От Elastic предупредиха, че прихващането може да продължи и след премахването на зловредния пакет. Ето защо администраторите трябва да прегледат и отделно да отстранят проблема в засегнатата инфраструктура, вместо да считат премахването на пакета за пълно коригиране на уязвимостта.

Elastic отстранява 14 уязвимости в сигурността

Тук под „tenant“ се разбират потребители или екипи в рамките на една инсталация на Kibana, а не отделни клиенти на Elastic Cloud. Проблемът засяга версии на Kibana от 8.14.0 до 8.19.21, от 9.0.0 до 9.4.6 и от 9.5.0 до 9.5.3.

Корекциите за сигурност бяха включени във версии 8.19.22, 9.4.7 и 9.5.4. Засегнати са както самостоятелно управляваните инсталации (self-managed), така и тези, базирани в Elastic Cloud Hosted, когато делегирани потребители могат да качват персонализирани интеграционни пакети. Друга уязвимост с висока степен на опасност, CVE-2026-103009, има оценка 7.1 и засяга търсенето между клъстери при използване на Remote Cluster Security 2.0.

Специално проектирана заявка може да премине оторизацията спрямо разрешен индекс, докато осъществява достъп до друг, неоторизиран индекс, предавайки документи, съпоставяния (mappings) и метаданни. Тя изисква достъп през транспортния интерфейс на отдалечения клъстер и не може да бъде експлоатирана през REST API.

Elasticsearch също получи корекции за уязвимости, водещи до отказ на услуга (DoS). CVE-2026-103008 позволява на удостоверен потребител с достъп за четене на индекси да предизвика прекомерна рекурсия чрез скриптирана геометрия, прекъсвайки работата на възел (node).

CVE-2026-102404 позволява на манипулирани ES|QL заявки да изчерпят паметта и неколкократно да нарушат наличността на клъстера. И двете уязвимости са с CVSS оценка 6.5 и са коригирани във версии 8.19.23, 9.4.8 и 9.5.5.

CVE-2026-102413 в Elastic Endpoint, оценена с 6.2, може да причини многократни сривове при обработка на манипулирани имена на файлове при определени регионални настройки на Windows, включително китайски, японски и корейски. Тези сривове могат да отслабят или изключат защитата от зловреден софтуер и поведенческото откриване.

Администраторите трябва да инсталират съответните коригирани версии и да прегледат бележките за обновяване. Докато Kibana бъде коригирана, Elastic препоръчва ограничаване на качването на персонализирани пакети само до пълни суперпотребители.

Анализаторите трябва да прегледат качените Fleet пакети за повторно използвани набори от данни и неочаквани промени в съществуващите пайплайни за въвеждане на данни. Elastic отстрани уязвимостта в Kibana в Cloud Serverless преди публичното оповестяване.