Elastic（Elasticsearch B.V.）が提供するデータ可視化ツール「Kibana」に、認証済みユーザーが本来閲覧を許可されていないデータを取得できる脆弱性が確認された。同社は2026年9月1日にセキュリティアドバイザリ「ESA-2026-168」を公開し、修正版となるKibana 9.4.5および9.5.1をリリースした。CVE番号はCVE-2026-63138、CVSS 3.1の基本値は6.5（警告）で、回避策（ワークアラウンド）は提供されていない。IPAが運営するJVN iPediaにも9月3日付でJVNDB-2026-031751として登録されている。
「NoSQLインジェクション」でクエリの意図を書き換えられる
脆弱性の分類は、CWE-943「データクエリロジックの特殊要素の不適切な中立化」。Elasticの説明によると、影響を受けるクエリ機能にアクセスできる認証済みユーザーが、特別に細工した入力を送信することで、本来意図されたクエリロジックを変更でき、その結果として閲覧権限のないデータを取得できるという。攻撃手法としてはNoSQLインジェクション（CAPEC-676）に分類される。
一般に「インジェクション」と聞くとSQLデータベースへの攻撃を思い浮かべやすいが、ここで狙われるのはElasticsearchに対する検索クエリの構文である。ユーザーが入力した文字列がクエリの構造そのものに影響を与えてしまうと、検索条件に埋め込まれていた絞り込み——たとえば「このユーザーが見られるインデックス（Elasticsearchにおけるデータの格納単位。データベースのテーブルに相当する）だけ」といった制限——を無効化できてしまう。認証を突破する必要はなく、正規のアカウントを持つ利用者が権限の壁を越えられる点が、この種の脆弱性の厄介なところだ。
CVSSの内訳を見ると、攻撃元区分はネットワーク、攻撃条件の複雑さは「低」、攻撃に必要な特権レベルは「低」、利用者の関与は不要とされている。一方で影響は機密性のみ（完全性・可用性への影響は「なし」）に限定されており、データの改ざんやサービス停止には直結しない。JVN iPediaも想定される影響として、情報が外部に漏えいする可能性を挙げるにとどめている。
影響は9.4系と9.5.0のみ、8系は対象外
影響を受けるのは、Kibana 9.4.0から9.4.4までの全バージョンと、9.5.0である。Elasticは、この脆弱性を含む機能が9.4.0で導入されたものであり、8.x系のリリースラインには存在しないため、8.x系の利用者は影響を受けないと明言している。
修正はKibana 9.4.5および9.5.1で提供済みだが、前述のとおりアップグレードできない場合の回避策は用意されていない。影響を受ける構成は、当該のクエリ管理機能が有効になっており、かつ認証済みユーザーがその機能が公開するクエリインターフェースにアクセスできる環境とされている。侵害の痕跡（IoC）については、特定の指標は確認されていないとElasticは説明している。なお、Elastic Cloud Serverlessについては、継続的デプロイと継続的パッチ適用のモデルにより、公開前に修正済みだという。
Elasticは9月1日から3日にかけて、ESA-2026-161、ESA-2026-122、ESA-2026-175など複数のKibana向けアドバイザリを相次いで公開している。今回のESA-2026-168だけを見て対応を終えず、自社の稼働バージョンに関係するアドバイザリを一通り確認しておきたい。
ログ基盤こそ「見せてよいデータ」の線引きが問われる
深刻度は「警告」にとどまり、リモートコード実行のような派手な脆弱性ではない。それでも軽視しづらいのは、Kibanaが置かれている位置のためだ。KibanaはElasticsearchに蓄積したログやイベントを可視化する窓口であり、そこに集まるのはアクセスログ、認証ログ、アプリケーションのエラー、場合によっては個人情報や決済関連のイベントまで含まれる。部門ごと・テナントごとに「見えるデータ」を絞る運用をしている組織では、その絞り込みが破られること自体が情報漏えいにつながる恐れがある。
そして、この脆弱性の起点は外部の攻撃者ではなく「認証済みユーザー」である。閲覧専用の権限を渡した協力会社のアカウント、退職手続き中の従業員のアカウント、共有された分析用アカウント——ログ基盤には、こうした「とりあえず読み取りだけ」のアカウントが積み上がりやすい。境界防御では防げない類の問題であり、パッチ適用と並行して、誰にどのインデックスへのアクセスを許しているのかを棚卸しする機会と捉えるのが妥当だろう。回避策がない以上、当面の打ち手は9.4.5または9.5.1への更新に絞られる。
同じ手口に、自社は備えられていますか？