Elastic heeft 14 beveiligingsadviezen uitgebracht die verschillende onderdelen van zijn softwarepakket omvatten, waaronder Elasticsearch, Kibana en Elastic Agent/Endpoint. Eén van deze adviezen beschrijft een kritieke kwetsbaarheid in Kibana, met de identificatie CVE-2026-102406 en een CVSS-score van 8.8. Deze kwetsbaarheid, die het installatieproces van pakketten in Fleet beïnvloedt, ontstaat doordat de eigendom van een pakket niet adequaat werd geverifieerd voordat de instellingen van een geüploade integratie werden toegepast op een bestaande datastroom.

Een aanvaller die bevoegd is om aangepaste Fleet-pakketten te installeren, kon een datastroom-identifier claimen die al door een andere tenant werd gebruikt. Dit kon zonder directe administratieve privileges in Elasticsearch. Als gevolg hiervan kon Fleet de index- en ingest-pipeline-instellingen van de aanvaller toepassen op bestaande infrastructuur. Dit leidde ertoe dat nieuwe gegevens via infrastructuur onder controle van de aanvaller werden geleid en blootgesteld werden aan ongeautoriseerde toegang en wijziging, terwijl de levering naar de beoogde bestemming werd onderbroken. Opvallend is dat de onderschepping van data kon doorgaan, zelfs na het verwijderen van het kwaadaardige pakket.

De kwetsbaarheid treft Kibana-versies 8.14.0 tot en met 8.19.21, 9.0.0 tot en met 9.4.6, en 9.5.0 tot en met 9.5.3. Oplossingen zijn beschikbaar in versies 8.19.22, 9.4.7 en 9.5.4. Zowel zelf-beheerde als Elastic Cloud Hosted installaties zijn kwetsbaar wanneer gedelegeerde gebruikers aangepaste integratiepakketten kunnen uploaden. Vanwege de ernst van deze kwetsbaarheid adviseert Elastic om het uploaden van aangepaste pakketten te beperken tot superusers totdat Kibana is bijgewerkt. De kwetsbaarheid in Kibana op Cloud Serverless is reeds verholpen.

Naast deze kritieke kwetsbaarheid, zijn er nog andere beveiligingsproblemen aangepakt. Een kwetsbaarheid met hoge ernst, CVE-2026-103009 met een score van 7.1, treft cross-cluster search met Remote Cluster Security 2.0. Hierbij kan een specifiek opgestelde request autorisatie omzeilen tegen een toegestane index, terwijl een andere, niet-toegestane index wordt benaderd. Dit kan leiden tot blootstelling van documenten, mappings en metadata. Deze kwetsbaarheid vereist toegang via de remote cluster transport interface en kan niet via de REST API worden misbruikt.

Elasticsearch heeft fixes ontvangen voor twee kwetsbaarheden die denial-of-service (DoS) veroorzaken. CVE-2026-103008, met een CVSS-score van 6.5, maakt het mogelijk voor een geauthenticeerde gebruiker met leesrechten tot een index om excessieve recursie te triggeren via scripted geometry, wat resulteert in het beëindigen van een node. CVE-2026-102404, eveneens met een CVSS-score van 6.5, staat opgestelde ES|QL-queries toe om geheugen uit te putten en de beschikbaarheid van het cluster herhaaldelijk te verstoren. Beide DoS-kwetsbaarheden zijn opgelost in versies 8.19.23, 9.4.8 en 9.5.5.

Tot slot heeft de Elastic Endpoint een kwetsbaarheid, CVE-2026-102413, met een score van 6.2. Deze kan herhaaldelijke crashes veroorzaken bij het verwerken van speciaal opgestelde bestandsnamen onder bepaalde Windows-locales, waaronder Chinees, Japans en Koreaans. Deze crashes kunnen de preventie van malware en gedragsdetectie verzwakken of uitschakelen.