Elastic ออกแพตช์ Elasticsearch และ Kibana แก้ช่องโหว่ 14 รายการ ระดับสูง 3 รายการ

Elastic ผู้พัฒนา Elasticsearch เผยแพร่ประกาศความปลอดภัย 14 ฉบับเมื่อวันที่ 6 ตุลาคม 2026 (ตรงกับเช้ามืดวันที่ 7 ตุลาคมตามเวลาไทย) แจ้งช่องโหว่ 14 รายการใน Elasticsearch, Kibana และ Elastic Agent/Endpoint ในจำนวนนี้ 3 รายการอยู่ในระดับสูง พร้อมออก Elastic Stack 8.19.23, 9.4.8 และ 9.5.5 ซึ่งรวมการแก้ไขทั้งหมด

ช่องโหว่เกือบทั้งชุดต้องอาศัยผู้ใช้ที่ล็อกอินแล้ว มีเพียง ESA-2026-194 ที่เกิดจากชื่อไฟล์บนเครื่อง Windows ประกาศ 12 ฉบับระบุว่ายังไม่พบตัวบ่งชี้การบุกรุก (indicator of compromise) ที่เฉพาะเจาะจง ส่วน ESA-2026-187 และ ESA-2026-197 ให้แนวทางตรวจย้อนหลังไว้ Elastic Cloud Serverless ได้รับการแก้ไขก่อนการเปิดเผยข้อมูลหรือไม่ได้รับผลกระทบ ส่วนผู้ที่ติดตั้งเองและผู้ใช้ Elastic Cloud Hosted ต้องอัปเกรดเอง โดยบล็อกประกาศรุ่น 9.5.5 แนะนำให้ผู้ใช้อัปเกรดเป็นรุ่นนี้แทน 9.5.4

ช่องโหว่ระดับสูง 3 รายการใน Kibana และ Elasticsearch

• ESA-2026-187 ผู้ใช้ที่ได้รับสิทธิ์ติดตั้ง integration package แบบอัปโหลดเองใน Fleet โดยไม่ต้องเป็นผู้ดูแล Elasticsearch สามารถอ้างชื่อ data stream ที่ทีมอื่นใช้อยู่ แล้วเบี่ยงข้อมูลที่ส่งเข้ามาภายหลังไปยังโครงสร้างที่ตนควบคุม Elastic ระบุว่าการดักข้อมูลยังเกิดต่อได้แม้ลบ package ออกแล้ว ต้องแก้โครงสร้างที่ถูกเปลี่ยนแยกต่างหาก
• ESA-2026-197 เกิดกับคลัสเตอร์ที่มอบสิทธิ์จัดการ role แบบจำกัดขอบเขต (manage_roles) โดยกำหนดชื่อ index เป็น wildcard หรือ regular expression ผู้ใช้ที่ได้สิทธิ์นี้แก้ role ของตัวเองให้เข้าถึง index ภายในรวมถึงข้อมูลความปลอดภัยได้
• ESA-2026-199 กระทบคลัสเตอร์ที่เปิดให้คลัสเตอร์อื่นค้นข้ามมาด้วยโมเดล Remote Cluster Security (RCS) 2.0 ผู้ถือ cross-cluster API key ของ index หนึ่งสามารถอ่านเอกสารและ mapping ของ index อื่นได้ แต่ใช้ผ่าน REST API ไม่ได้

ช่องโหว่ระดับกลาง 11 รายการ ส่วนใหญ่ทำให้โหนดล่ม

แปดรายการเป็นการทำให้ระบบหยุดให้บริการ (denial of service) ผู้ใช้สิทธิ์ต่ำที่อ่าน index ได้ก็ส่งคำขอที่ทำให้โหนด Elasticsearch ใช้หน่วยความจำจนหมดหรือเรียกตัวเองซ้ำจนทรัพยากรไม่พอได้ ทั้งผ่าน ES|QL (ESA-2026-185), aggregation ที่ซ้อนกันลึก (ESA-2026-196) และ runtime field ที่สร้าง geometry จากสคริปต์ (ESA-2026-198) ทั้งสามรายการได้ CVSS 6.5 และประกาศ ESA-2026-196 ระบุว่าโหนดจะไม่ฟื้นเองและต้องให้ผู้ดูแลเข้าไปกู้

รายการอื่นในกลุ่มนี้คือ ESA-2026-190 (ฟังก์ชัน text chunking ที่มีตั้งแต่ 9.2.0), ESA-2026-192 (index template), ESA-2026-195 (Connector API) ซึ่งได้ 6.5 เท่ากัน ESA-2026-189 (regular expression ในฟังก์ชัน CHUNK ของ ES|QL กิน CPU จนคิวรีอื่นช้าลง แต่คลัสเตอร์ไม่ล่ม) ได้ 4.3 และ ESA-2026-194 ที่ทำให้ Elastic Endpoint บน Windows ที่ตั้ง locale ภาษาจีน ญี่ปุ่น หรือเกาหลีล่มและเริ่มใหม่วนไป จนการป้องกันมัลแวร์ของ Elastic Defend ลดลงหรือหยุดทำงาน ได้ 6.2

อีกสามรายการเกี่ยวกับการตรวจสิทธิ์ ได้แก่ ESA-2026-193 ที่ผู้ใช้ Fleet สิทธิ์จำกัดเข้าถึงกุญแจ SSL ส่วนตัวของ Fleet Server ได้ (6.5) ESA-2026-188 ที่แก้ data stream ซึ่งตนไม่มีสิทธิ์ผ่าน Modify Data Streams API ได้ (5.4) และ ESA-2026-191 ใน Metrics Experience ของ Kibana 9.2.0–9.3.8 (4.3)