Elastic은 9월 1일 권고문 ESA-2026-114를 공개했습니다. CVE-2026-72649는 CVSS 3.1 기본 점수 8.8, 벡터 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H를 받았으며, 신뢰되지 않은 데이터의 역직렬화로 인한 CWE-502 취약점으로 객체 주입을 통해 원격 코드 실행으로 이어집니다. 공격 매개체는 훈련된 머신러닝 모델 아티팩트 자체입니다.
영향 범위는 지원되는 모든 계열입니다
영향받는 버전은 8.0.0부터 8.19.19까지와 9.0.0부터 9.4.4까지, 그리고 9.5.0입니다. 실질적으로는 수정본 이전의 모든 8.x 및 9.x 릴리스입니다. 패치 릴리스도 존재하며, 8.19.20, 9.4.5 및 9.5.1로 명시됐습니다. 이는 분명히 짚고 넘어갈 만합니다. 같은 24시간 동안 공개된 AI 관련 CVE 기록 11건 가운데, Elastic의 사례만이 운영자에게 어떤 버전이 안전한지 알려주기 때문입니다.
흔한 해석이 놓치는 점
PR:L를 보면 자동으로 “인증된 사용자라 위험도가 낮다”는 반응이 나오기 쉽습니다. 그러나 여기서는 그 판단이 틀립니다. 필요한 권한은 훈련된 모델을 배포하는 것인데, 대다수 Elastic 배포 환경에서는 공용 허브에서 모델을 가져오는 행위가 코드 작업이 아니라 콘텐츠 작업으로 취급되기 때문에, 그 권한이 클러스터 관리자 대신 데이터 과학팀에 위임됩니다. 조직도는 모델 파일을 데이터로 가정합니다. 그러나 이번 권고는 그것들이 실행 가능하다고 말합니다.
우회책은 값싸지 않습니다
두 번째로 흔한 오판은 완화책을 임시방편으로 읽는 것입니다. Elastic이 문서화한 우회책은 클러스터 전반에서 xpack.ml.enabled: false로 설정하고 재시작하거나, 제3자 훈련 모델 가져오기를 중단하는 것입니다. 머신러닝을 클러스터 전반에서 비활성화하면 ELSER, semantic search 및 anomaly detection이 꺼집니다. 상당수 클러스터에서는 이것이 곧 제품 자체를 끄는 것과 같습니다.
대략 19건 중 하나, 그리고 8.8은 이것뿐입니다
Elastic은 같은 날 Elasticsearch와 Kibana 전반에 걸친 대략 19건의 CVE 묶음 속에 이번 문제를 포함해 배포했습니다. 나머지는 4.2에서 8.3 사이입니다. 또 다른 AI 관련 항목인 CVE-2026-78607은 5.4로, Elasticsearch 커스텀 추론 서비스의 권한 부재 문제입니다. 8.8이 핵심이며, 대량 배포 속에서 쉽게 묻힐 수 있습니다.
공급망이 주류 인프라로 들어옵니다
Elastic의 공식 문서화된 작업 흐름은 Hugging Face에서 제3자 모델을 가져오도록 권장합니다. 이번 권고의 다른 완화책은 바로 그것을 중단하라는 것입니다.