Le CERT-FR signale plusieurs vulnérabilités dans Elasticsearch et Kibana, deux outils développés par Elastic pour rechercher et explorer des données. Selon la version installée, les failles peuvent porter atteinte à la confidentialité ou à l’intégrité des données, contourner une règle de sécurité, interrompre un service ou permettre une élévation de privilèges. L’avis du 25 septembre 2026 précise les branches concernées et renvoie aux bulletins de sécurité de l’éditeur pour les correctifs.
Le périmètre dépend du produit et de sa branche
Pour Elasticsearch, l’avis cite les versions 8.19.x antérieures à 8.19.22, les 9.4.x antérieures à 9.4.7 et les 9.5.x antérieures à 9.5.4. Pour Kibana, il mentionne les 9.5.x antérieures à 9.5.3, les 9.x antérieures à 9.4.7 et les versions antérieures à 8.19.22. Ces repères ne désignent donc pas une version unique à contrôler : il faut d’abord identifier le produit, puis comparer son numéro de version à la branche indiquée.
L’avis ne signifie pas que toute installation d’Elastic est vulnérable. Une organisation doit vérifier les instances qu’elle utilise réellement, y compris les environnements de test et les services administrés par un prestataire. Un inventaire des versions installées permet de déterminer si l’avis concerne son parc, au lieu de se fier au seul nom du produit.
Des risques différents regroupés dans un même avis
Le CERT-FR liste plusieurs conséquences possibles : modification ou divulgation de données, contournement de la politique de sécurité, déni de service à distance et élévation de privilèges. L’avis rassemble plusieurs bulletins publiés par Elastic le même jour ; son résumé ne décrit pas le mécanisme propre à chaque faille. Ces effets ne doivent donc pas être attribués indistinctement à toutes les vulnérabilités ou aux deux produits.
Dans une équipe qui utilise Kibana pour consulter des tableaux de bord, une interruption peut compliquer le suivi des activités. Elasticsearch, lui, peut contenir les données recherchées par les applications ou services connectés. Ce sont des conséquences possibles des catégories de risques signalées, et non l’annonce d’une compromission constatée dans une organisation particulière.
Comparer les versions aux bulletins de correctifs
Le CERT-FR renvoie vers les bulletins de sécurité d’Elastic pour obtenir les correctifs. L’équipe responsable peut relever la version de chaque instance, retrouver le bulletin correspondant au produit et à sa branche, puis suivre les consignes de mise à jour qui y figurent. Cette étape est particulièrement utile lorsqu’un même environnement comprend plusieurs instances ou que des applications dépendent du cluster.
Si l’exploitation est confiée à un hébergeur ou à un prestataire, l’avis fournit un point de contrôle à lui transmettre : quelles versions sont déployées et le correctif correspondant a-t-il été appliqué ? Pour les installations internes, la mise à jour doit suivre les procédures de l’organisation afin de préserver la disponibilité des services et des données. Le résumé du CERT-FR ne donne pas une procédure universelle de déploiement.
La première vérification reste de confirmer la présence d’Elasticsearch ou de Kibana dans l’environnement. Pour les équipes qui les exploitent, le tableau des branches affectées sert à repérer les versions à examiner ; le bulletin Elastic correspondant donne ensuite la marche à suivre.
