JVN iPediaは2026年10月13日、ElasticのKibanaに関する脆弱性2件を掲載しました。操作やデータへのアクセスを許可する「認可」の確認に不備があり、権限を持つユーザーが本来の制限を超えてデータや機密の認証情報にアクセスできる恐れがあります。2件で対象版と案内された更新先が異なるため、片方だけの対応で終えないことが確認のポイントです。
メトリックデータへのアクセス制限を回避する恐れ
CVE-2026-102410の対象は、Kibana 9.2.0以上9.4.0未満です。JVNによると、Metrics Experienceの一部の内部APIで、アクセスを許可してよいかを確かめる処理が欠けていました。APIは、ソフトウェア同士が機能やデータをやり取りするための仕組みです。
この不備により、インデックスの読み取り権限だけでメトリックデータを取得できます。対応するKibana機能の権限を持っていなくても、アクセス制限を回避できるとされています。
深刻度の評価指標であるCVSS v3の基本値は4.3で、JVNの分類は「警告」です。ネットワーク経由で攻撃でき、必要な特権レベルは低いと評価されています。攻撃条件の複雑さも低く、利用者の関与は不要です。ベンダ情報として、Kibana 9.4.0のセキュリティ更新が案内されています。
Fleet関連では秘密鍵が取得される恐れ
CVE-2026-102412の対象は、次の3つの範囲です。
- Kibana 9.3.0から9.3.8まで
- Kibana 9.4.0以上9.4.8未満
- Kibana 9.5.0以上9.5.5未満
JVNによると、限定的なFleet管理権限を持つ認証済みユーザーが、機密の認証情報にアクセスできます。Fleetサーバーホスト接続用の秘密鍵が取得される恐れがあります。その鍵を使う環境では、信頼されたFleet構成要素へのなりすましにつながる恐れもあります。
CVSS v3の基本値は6.5で、深刻度は「警告」です。JVNの評価では機密性への影響が高く、完全性と可用性への影響はありません。ベンダ情報として、Kibana 9.4.8と9.5.5のセキュリティ更新が案内されています。
ここで注意したいのは、9.4.0がFleet関連の対象範囲に含まれる点です。Metrics Experienceの対策として9.4.0へ更新しても、Fleet関連の対策が済んだことにはなりません。2件の対象範囲と更新先を別々に照合する必要があります。
影響する会社・しない会社
- 影響する: Kibana 9.2.0以上9.4.0未満を利用する会社です。特に、インデックスの読み取り権限とKibana機能の利用権限を分けている環境では、意図したアクセス制限を確認する必要があります。
- 影響する: Fleet関連の対象版を利用し、限定的なFleet管理権限をユーザーに付与している会社です。接続用の秘密鍵を使う環境では、なりすましの恐れも確認点になります。
- 影響しない: Kibanaを利用していない会社は、この2件の製品対象に該当しません。
- 影響しない: Kibana 9.4.8または9.5.5を利用する環境は、今回示された2件の対象範囲に含まれません。ただし、ほかの脆弱性への対応まで保証するものではありません。
会社の規模や提供地域による対象条件は、掲載情報には書かれていません。
情シスが今日やること
以下は社内で進める確認手順の提案です。JVNが示した更新期限ではありません。
- 今日中に、IT資産台帳とKibanaの運用担当者への照会で、稼働中の版を一覧にします。資料には管理画面内の版表示の場所が書かれていないため、運用担当者に確認方法と確認結果を記録してもらいます。
- 一覧の各環境を、2件それぞれの対象範囲と照合します。両方に該当する環境は、対応状況も2件に分けて記録します。9.4.0を更新先としている作業計画があれば、Fleet関連の対象に残ることを担当者へ伝えます。
- 権限管理の担当者に、インデックスの読み取り権限と対応するKibana機能の権限、限定的なFleet管理権限の付与先を確認してもらいます。Fleetの運用担当者には、対象の接続用秘密鍵を使っているかも確認します。
- 対象環境の更新計画を、運用担当者とシステム責任者で決めます。JVNが案内するベンダ情報を参照し、Fleet関連では9.4.8・9.5.5への更新を検討します。更新後は実際の版を再確認し、対象範囲から外れたことを記録します。
