Elastic ha lanzado actualizaciones de seguridad críticas que abordan cuatro vulnerabilidades significativas en su stack, incluyendo una falla de alta gravedad que permite la divulgación arbitraria de archivos a través de configuraciones de conectores comprometidas. Los parches resuelven problemas que afectan el manejo de archivos, la validación de entradas y los mecanismos de asignación de recursos en Kibana y componentes relacionados. La vulnerabilidad más grave combina el control de rutas de archivos externas con el procesamiento del lado del servidor

Elastic ha lanzado actualizaciones de seguridad críticas que abordan cuatro vulnerabilidades significativas en su stack, incluyendo una falla de alta gravedad que permite la divulgación arbitraria de archivos a través de configuraciones de conectores comprometidos.

Los parches resuelven problemas que afectan el manejo de archivos, la validación de entradas y los mecanismos de asignación de recursos en Kibana y componentes relacionados.

La vulnerabilidad más grave combina el control externo de rutas de archivos con capacidades de falsificación de solicitudes del lado del servidor (SSRF), permitiendo a atacantes autenticados extraer archivos arbitrarios de los sistemas afectados.

La CVE-2026-0532 surge de una validación insuficiente de las cargas útiles JSON de credenciales al procesarlas en la configuración del conector de Google Gemini.

Un atacante con privilegios para crear o modificar conectores puede elaborar configuraciones maliciosas para desencadenar solicitudes de red no autorizadas y lecturas arbitrarias de archivos.

Esta vulnerabilidad tiene una puntuación CVSS 3.1 de 8.6 (Alta). Afecta a las versiones de Elastic 8.15.0 a 8.19.9, así como a todas las versiones 9.x hasta la 9.2.3.

Las configuraciones de Kibana te permiten desactivar el tipo de conector mediante la configuración xpack.actions.enabledActionTypes como medida temporal de mitigación.

Los clientes de Elastic Cloud Serverless no se ven afectados debido a sus prácticas de implementación continua. Debes actualizar a la versión 8.19.10, 9.1.10 o 9.2.4.

La CVE-2026-0543 demuestra cómo una validación incorrecta de entradas en el conector de correo electrónico de Kibana permite la interrupción completa del servicio mediante parámetros de direcciones de correo especialmente diseñados.

Un atacante con privilegios de ejecución de conectores puede enviar formatos de correo malformados que desencadenan una asignación excesiva de memoria, causando la indisponibilidad del servicio en toda la plataforma y requiriendo un reinicio manual del servidor.

Esta falla de gravedad media (CVSS 6.5) afecta a todas las versiones 7.x y a las versiones 8.x hasta la 8.19.9, así como a las versiones 9.x hasta la 9.2.3.

Fallas de agotamiento de memoria en Fleet

Dos vulnerabilidades adicionales de asignación de recursos en Kibana Fleet permiten ataques de denegación de servicio (DoS) mediante solicitudes de recuperación masiva.

Las CVE-2026-0531 y CVE-2026-0530 explotan acciones ilimitadas en la base de datos que pueden ser activadas por usuarios autenticados con bajos privilegios.

Ambas fallas tienen puntuaciones CVSS idénticas de 6.5 y afectan a las versiones 7.10.0 y posteriores, 8.x hasta la 8.19.9, y 9.x hasta la 9.2.3. No existen soluciones alternativas para estas vulnerabilidades.

Elastic recomienda aplicar las últimas versiones de seguridad de inmediato. Si no puedes actualizar, implementa segmentación de red y controles de acceso para restringir la modificación de privilegios de los conectores.