Elasticスタック全体で12件のElasticセキュリティ脆弱性にパッチ

要点

Elasticは2026年11月3日、新たなセキュリティアップデートを公開しました。今回のアドバイザリーでは、Elasticsearch、Kibana、APM Server、Beatsにまたがる12件のElasticセキュリティ脆弱性が修正されています。これらの脆弱性を悪用されると、通信の盗聴、サービス拒否(DoS)、リソースの削除が起こるおそれがあります。システム管理者は、ただちに最新のアップデートを適用してください。データクラスターを被害から守り、システムの安全を維持する必要があります。

重要な理由

Elasticスタックは、世界中でデータ検索、ログ分析、セキュリティ業務を支えています。業界データによると、現在では数千社がElasticsearchを運用しています。実際、Fortune 500企業の50%超が日常的に利用しています。企業は、重要な業務記録やセキュリティログをこれらのシステムに保存しています。そのため、クラスターのコアノードに弱点があると、企業ネットワークに深刻なリスクが生じます。侵入者は重要なデータを盗み出したり、サービスを停止に追い込んだりするおそれがあります。

幸いなことに、Elasticは、実環境での悪用は確認されていないとしています。さらに、研究者による脆弱性の悪用コードの公開もありません。

攻撃の仕組み

セキュリティ情報では、トランスポート層のセキュリティ、メモリ処理、アクセス制御にまたがる複数の欠陥が説明されています。

Dockerイメージに含まれる侵害されたルート証明書

1件目のCVE-2026-115714は、公式ElasticのDockerイメージに含まれる証明書ストアに影響します。アドバイザリーは次のように説明しています。「証明書バンドルには、秘密鍵が侵害されているeMudhraの中間認証局8件に署名したルート認証局が含まれています」。このため、これらの鍵を入手した攻撃者は、偽の証明書を発行できます。攻撃者がネットワーク経路上にいれば、サービス間のTLS通信を読み取ったり、改ざんしたりできます。

ElasticsearchとAPMにおけるサービス拒否

2件目として、複数の不具合がメモリリークや再帰処理を通じてサービス拒否を引き起こします。ElasticsearchのCVE-2026-115290では、認証されていない攻撃者がクラスターのポートへ入れ子構造のペイロードを送信できます。アドバイザリーは次のように警告しています。「ノードのリモートクラスターサーバーインターフェースにネットワーク経由でアクセスできる認証されていない攻撃者が、細工したリクエストを送信すると、ノードを強制終了させることができます」。同様に、CVE-2026-115716では、攻撃者がAPM Serverのメモリを枯渇させることができます。一方、PacketbeatのCVE-2026-115297は、不正なAMQPトラフィックを読み込むとクラッシュを引き起こします。

Kibanaにおけるパストラバーサルと認証情報の露出

3件目として、Kibanaにはパストラバーサルと権限バイパスの欠陥があります。CVE-2026-115294では、Fleetエージェントポリシーのパスに関する不具合により、不正なリソース削除が可能になります。アドバイザリーには次のように記されています。「Fleetエージェントポリシーの書き込み権限を持つ低権限ユーザーが、その後の管理者操作を意図しないリソースに対して実行させることができます」。この欠陥を悪用すると、攻撃者はKibanaのスペース全体を削除できます。さらに、CVE-2026-115293では、オンボーディング中にElasticsearchのサービス認証情報が漏えいします。

影響を受けるバージョン

これらのElasticセキュリティ脆弱性は、8.xから8.19.23まで、9.0.0から9.4.8まで、および9.5.0から9.5.5までのバージョンに影響します。

パッチ適用と緩和策

Elasticは、最新のメンテナンスリリースで12件の脆弱性をすべて修正しました。管理者は、アップグレードの詳細についてElasticの公式セキュリティ告知フォーラムを確認してください。各チームは、ただちにデプロイ環境をバージョン8.19.24、9.4.9、または9.5.6へ更新する必要があります。加えて、問題のあるルート証明書を置き換えるため、最新のDockerイメージを取得してください。管理者は、リモートクラスターのポートへの信頼できないアクセスもブロックしてください。ネットワークアクセスは、内部サブネットに限定することをお勧めします。