ElasticがElastic Stack製品群に計6件の脆弱性を公表-Elasticsearch・Kibana・Elastic Defendが対象、CVSSv3.1最大6.5のDoS・情報漏洩・不正認可を修正（2026年7月1日）|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月28日更新日時: 2026年07月28日

Elasticは2026年7月1日、Elasticsearch・Kibana・Elastic Defendを含むElastic Stack製品群に対して6件のセキュリティアドバイザリ（ESA-2026-41〜53）を一括公表しました。CVSS v3.1の最大スコアは6.5（Medium）で、Critical・Highに分類される脆弱性は含まれていませんが、DoS（サービス拒否）が3件・情報漏洩が2件・不正認可が1件という内訳です。なかでも注目すべきは、認証済みの一般権限ユーザーがクエリを送るだけでElasticsearchノードをダウンさせられるCVE-2026-56148と、APMを有効化している環境でリクエストヘッダーの値（Cookieを含む）がログに記録されてしまうCVE-2026-49088の2件です。後者はIoC（侵害の痕跡）の確認方法がアドバイザリに明示されている唯一の案件であり、既に漏洩が発生しているかどうかをログで確認できます。Elastic Cloud Serverlessはすべて公表前に対処済みとなっています。

サマリー

2026年7月1日、ElasticがElastic Stack製品の6件のCVEを公表（ESA-2026-41〜53）
Elasticsearch: CVE-2026-56148（CVSS 6.5・DoS）、CVE-2026-56149（CVSS 4.9・DoS）
Kibana: CVE-2026-56151（CVSS 6.5・DoS）、CVE-2026-49087（CVSS 6.5・DoS）、CVE-2026-49088（CVSS 4.4・情報漏洩）
Elastic Defend: CVE-2026-56152（CVSS 5.3・不正認可による情報漏洩）
CVE-2026-56148はすべての認証済みユーザーがクエリ権限のみでElasticsearchノードをDos可能
CVE-2026-49088はAPM有効化環境のみが対象、ログに機密ヘッダーが記録されるIoCを確認可能
CVE-2026-56152はElastic Defend（セキュリティ製品）自体の不正認可で、低権限ユーザーが非認可の応答アクションデータを閲覧可能
いずれのCVEにも回避策（ワークアラウンド）は存在しない（CVE-2026-49088のAPM無効化を除く）
旧バージョン向けにKibana 7.17系・Elasticsearch 7.17系へのバックポートパッチも同時公表

CVE	ESA	対象製品	脆弱性の種類	CVSSv3.1	影響	修正バージョン
CVE-2026-56148	ESA-2026-42	Elasticsearch	制御されない再帰（CWE-674）	6.5（Medium）	DoS	8.19.17、9.3.6、9.4.3
CVE-2026-56149	ESA-2026-43	Elasticsearch	リソース制限なし割当て（CWE-770）	4.9（Medium）	DoS	8.19.17、9.3.6、9.4.3
CVE-2026-56151	ESA-2026-45	Kibana	不適切な入力検証（CWE-20）	6.5（Medium）	DoS（Fleet管理停止）	8.19.17、9.3.6、9.4.3
CVE-2026-49087	ESA-2026-49	Kibana	リソース制限なし割当て（CWE-770）	6.5（Medium）	DoS	8.19.15、9.3.4
CVE-2026-49088	ESA-2026-50	Kibana	ログへの機密情報挿入（CWE-532）	4.4（Medium）	情報漏洩（APM有効化環境のみ）	8.18.9、8.19.6、9.0.8、9.1.6
CVE-2026-56152	ESA-2026-46	Elastic Defend	不正認可（CWE-863）	5.3（Medium）	情報漏洩（応答アクションデータの不正閲覧）	8.19.13、9.2.7、9.3.2

ElasticsearchのDoS脆弱性2件――権限の低いユーザーでもノード停止が可能

ESA-2026-42（CVE-2026-56148）はElasticsearchの制御されない再帰（CWE-674）に起因するDoS脆弱性です。認証済みのユーザーが細工したクエリを送信すると、リクエスト処理中に過剰なリソース消費が発生し、対象ノードが応答不能になる可能性があります。

この脆弱性が特に注意を要するのは、攻撃に必要な権限水準の低さです。アドバイザリには「クエリを送信できる権限を持つ認証済みアカウントが必要。管理者権限は不要」と明示されており、Elasticsearchにアクセスできる一般的なユーザーであれば悪用可能な設計となっています。また「すべての構成が影響を受ける」とされているため、特定の機能を無効化することで回避できるという選択肢がありません。サーバーサイドエンジニアとしてElastic Stackを含む分散システムの運用経験から言えば、ノード1台のDoSがクラスター全体の可用性に波及するリスクは、単一サービス停止よりも被害範囲が広くなりやすい点を念頭に置く必要があります。

ESA-2026-43（CVE-2026-56149）はリソース制限なしの割り当て（CWE-770）に起因するDoSで、こちらは機械学習のトレーニングモデルを作成・管理する権限を持つユーザーが対象です。細工された機械学習リクエストにより過剰なメモリ消費が発生し、ノードが利用不能になる可能性があります。ML機能を使用している環境での影響が前提となるため、ML機能を無効化しているシンプルな構成では悪用条件を満たしません。

両CVEとも修正バージョンは共通で8.19.17、9.3.6、9.4.3であり、回避策は提供されていません。

KibanaのDoS脆弱性2件――FleetとTimelineが標的

ESA-2026-45（CVE-2026-56151）はKibanaにおける不適切な入力検証（CWE-20）で、Fleet機能を使用する環境が対象です。認証済みユーザーがFleetポリシーの管理権限を持っている場合、細工されたポリシー入力を送信することで、Fleetエージェント・サーバー・ポリシー管理機能を利用不能にできます。Fleetを使用していない構成は影響を受けません。

ESA-2026-49（CVE-2026-49087）はKibanaのTimeline機能を使用する環境で発生するDoSです。認証済みユーザーが細工した一括削除リクエストを送信すると、過剰なリソース消費によってKibanaが利用不能になる可能性があります。こちらはTimelineへのアクセス権を持つユーザーが悪用条件を満たします。影響範囲はKibana 8.0.0〜8.19.14および9.0.0〜9.3.3で、9.4.0以降は影響を受けません。修正バージョンは8.19.15と9.3.4です。

KibanaのAPMログ問題（CVE-2026-49088）――IoCが提供された唯一の案件

ESA-2026-50（CVE-2026-49088）は今回の公表の中で唯一、侵害の痕跡（IoC）の確認方法が明示されているCVEです。KibanaでオプションのAPM（アプリケーションパフォーマンスモニタリング）インストルメンテーションを有効化している場合、機密性の高いリクエストヘッダーの値がアプリケーションログに記録され、ログにアクセスできるオペレーターに閲覧される可能性があります。

重要なのは、この脆弱性はAPMインストルメンテーションを明示的に有効化した環境のみが対象だという点です。デフォルト設定では有効化されていないため、APMを使用していない環境はそもそも影響を受けません。アドバイザリに記載されたIoCとして、アプリケーションログにリクエストヘッダーの値（Cookieの値を含む）が記録されている場合は情報漏洩の可能性があるとされています。自己管理環境でのワークアラウンドとしてAPMインストルメンテーションの無効化が提示されており、これが今回の全6件で唯一ワークアラウンドが存在する脆弱性です。修正バージョンは8.18.9、8.19.6、9.0.8、9.1.6です。

Elastic Defndの不正認可（CVE-2026-56152）――セキュリティ製品自体に認可の不備

ESA-2026-46（CVE-2026-56152）はElastic Defend（ElasticのEDR機能）における不正認可（CWE-863）です。低権限の認証済みユーザーが、特定の条件下で本来閲覧権限を持たない応答アクション（Response Action）のデータにアクセスできる可能性があります。

セキュリティ製品自体に認可の不備があるという点は見過ごせません。過去にもElastic Defendで高リスクの脆弱性が公表されており、EDRをはじめとするセキュリティ製品も定期的なアップデートが必要なことを改めて示す事例です。Elastic DefendでResponse Actions（ホストの隔離・プロセス終了・ファイル削除などのエンドポイント対応操作）を使用している環境が影響を受け、8.6.0〜8.19.12、9.0.0〜9.2.6、9.3.0〜9.3.1が対象です（9.4.0以降は影響なし）。修正バージョンは8.19.13、9.2.7、9.3.2です。

旧バージョンブランチへのバックポートと今回の対応方針

今回のアドバイザリ群にはElasticsearch 7.17.24・8.15.0（ESA-2026-52）やKibana 7.17.15・8.11.1（ESA-2026-53）、Kibana 8.16.3・8.17.2（ESA-2026-51）向けのパッチも含まれています。これはElasticが古いサポートブランチに対してもセキュリティ修正をバックポートしていることを意味し、最新バージョンへの移行が難しいレガシー環境を持つ組織にとっては重要な情報です。ただしこれらの旧バージョンは最新バージョンが持つ機能的な改善の恩恵を受けられないため、中長期的には最新バージョンへの移行を計画することが望ましいです。

Elastic Cloud Serverlessはすべての脆弱性について公表前に対処済みとなっており、マネージドサービスとしての継続的なデプロイ・パッチ適用モデルの利点が確認できます。自己管理環境を運用している情報システム部門は、今回の修正バージョンへの計画的なアップグレードが必要です。

Elasticの過去の深刻な脆弱性（CVE-2025-25012、CVSS 9.9）やKibana・ElasticsearchへのXSS等の複数脆弱性（CVE-2025-25009等）と比較すると、今回の6件はいずれもCVSSが中程度（4.4〜6.5）にとどまり、Critical脆弱性のような緊急性は相対的に低い評価です。しかし認証済みユーザーによるDoSは可用性への影響が直接的であり、特にElasticsearchをSIEM基盤やセキュリティログの中核として使用している環境では業務インパクトが大きいため、対応計画の策定を速やかに行うことが推奨されます。