发布日期： 2026 年 11 月 5 日
风险等级： 高危（High）
漏洞编号： CVE-2026-115714 · CVE-2026-114406
涉及镜像： elastic/filebeat — 轩辕镜像 · Docker Hub · elastic/logstash — 轩辕镜像 · Docker Hub · elastic/elastic-agent — 轩辕镜像 · Docker Hub · elastic/metricbeat — 轩辕镜像 · Docker Hub · elastic/apm-server — 轩辕镜像 · Docker Hub · elastic/kibana — 轩辕镜像 · Docker Hub · elastic/elasticsearch — 轩辕镜像 · Docker Hub
CVSS： CVE-2026-115714 为 7.4（High，CVSS 3.1：AV:N/AC:H/PR:N/UI:N）。CVE-2026-114406 按 Elastic 评为 7.4
披露时间： ESA-2026-237 · ESA-2026-229
相关公告： ESA-2026-237 · ESA-2026-229
一、漏洞概述
CVE-2026-115714（官方镜像 OS 证书包）
多款产品官方 Docker 镜像内置的操作系统证书包，仍包含私钥已泄露的 eMudhra 中间 CA 对应根。攻击者若处于网络路径上，并出示用泄露密钥签发的证书，就可以对依赖默认 OS 信任库的出站 TLS 做中间人拦截或篡改。
影响范围包括：APM Server；Auditbeat / Filebeat / Heartbeat / Metricbeat / Packetbeat；Elastic Agent（含 Fleet Server、Cloudbeat）；使用 OS 证书包做 TLS 的 Logstash；Elastic connectors；Universal Profiling；Elastic Maps Server。
仅官方 Docker 镜像受本 CVE 约束。rpm / zip 等非镜像安装走宿主机信任库，不在本条范围。
CVE-2026-114406（Kibana Node.js 信任库）
Kibana 捆绑的 Node.js 根证书库含相同 eMudhra 根。修复版本与上条相同。NVD 另有 Red Hat ca-certificates 侧 Medium 描述；产品侧以 Elastic High 7.4 与修复镜像为准。
同批 Java 信任库
Elasticsearch / Logstash 捆绑 Java 信任库的 eMudhra 问题，映射已报的 CVE-2026-91403 / CVE-2026-114820 一类路径。官方已发同版本修复镜像，请一并换到 8.19.24 / 9.4.9 / 9.5.6，本文不另展开。
二、漏洞状态
统计截止： 2026 年 11 月 5 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（ESA、NVD） |
| 官方补丁 | 8.19.24 / 9.4.9 / 9.5.6（或已核实含修复的后续版） |
| 镜像标签 | Hub 已核实 elastic/filebeat、elastic/logstash、elastic/elastic-agent、elastic/kibana、elastic/elasticsearch 等上述版本标签 |
| 临时缓解 | 官方称本条无临时缓解 |
| CISA KEV | 未列入 |
三、影响范围
运行受影响 Elastic 官方镜像，且出站 TLS 依赖镜像内 OS / Node 默认信任库、未自定义 ssl.certificate_authorities 等的部署。需要攻击者具备路径上的中间人能力。
四、修复建议
按所在大版本线升到：
| 线 | 升到 |
|---|---|
| 8.19 | 8.19.24 |
| 9.4 | 9.4.9 |
| 9.5 | 9.5.6 |
示例（Filebeat / Kibana；其余产品替换坐标即可）：
bashdocker pull docker.xuanyuan.run/elastic/filebeat:8.19.24
bashdocker pull docker.xuanyuan.run/elastic/kibana:8.19.24
bashdocker pull docker.xuanyuan.run/elastic/elasticsearch:8.19.24
亦可从 docker.elastic.co 拉同 tag。Agent、Logstash、Metricbeat、APM Server 等请同步到同一修复版本。
轩辕镜像： filebeat · logstash · elastic-agent · metricbeat · apm-server · kibana · elasticsearch
五、临时缓解措施
官方写明本条无临时缓解。升级前若必须继续跑旧镜像，只能尽量缩短不可信路径上的出站 TLS，并尽快换到修复版本。这不能代替 8.19.24 / 9.4.9 / 9.5.6。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 Elastic 的版本修复。请按产品固定上述修复标签。基于更旧标签二次构建的，要改基础标签后重新构建。
七、参考链接
- Elastic：ESA-2026-237 · ESA-2026-229
- NVD：CVE-2026-115714 · CVE-2026-114406
- 轩辕站内镜像页：filebeat · kibana · elasticsearch
阅读原文
轩辕镜像安全团队
2026 年 11 月 5 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
文中提及的第三方镜像由其原维护者自行维护与更新，轩辕镜像不负责相关镜像的维护。如镜像涉及版权争议或违法违规情形，请直接联系该镜像维护者处理，相关事宜与轩辕镜像无关。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。