Elastic опубликовала рекомендацию ESA-2026-114 1 сентября. CVE-2026-72649 получила базовую оценку CVSS 3.1 8.8, вектор AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H и относится к CWE-502 — десериализации недоверенных данных, ведущей к удалённому выполнению кода через внедрение объектов. Вектором эксплуатации выступает сам артефакт обученной модели машинного обучения.
Зона поражения — вся поддерживаемая линейка
Затронуты версии 8.0.0 through 8.19.19 и 9.0.0 through 9.4.4, plus 9.5.0 — на практике все выпуски 8.x и 9.x до исправления. Исправленные релизы действительно существуют и перечислены: 8.19.20, 9.4.5 and 9.5.1. Это важно проговорить прямо, потому что из одиннадцати записей CVE, связанных с AI и опубликованных в те же 24 часа, именно Elastic — единственная, которая сообщает оператору, какая версия безопасна.
Что не так с привычной трактовкой
Первый рефлекс при виде PR:L — «нужна аутентификация, значит риск низкий». Здесь это неверно по конкретной причине. Требуемые привилегии — это возможность развернуть обученную модель, а в большинстве развертываний Elastic это право делегируется команде data science, а не администраторам кластера, именно потому что импорт модели из публичного хаба считается операцией с контентом, а не с кодом. Организационная модель исходит из того, что файлы модели — это данные. Эта рекомендация говорит, что они исполняемые.
Обходной путь тоже дорог
Вторая ошибка — считать смягчение временной мерой. Описанный Elastic обходной путь — установить xpack.ml.enabled: false на уровне всего кластера и перезапустить его либо прекратить импорт сторонних обученных моделей. Отключение машинного обучения на уровне всего кластера выключает ELSER, semantic search и anomaly detection — для большой доли кластеров это и есть продукт.
Одна из примерно девятнадцати и единственная с 8.8
Elastic выпустила это в составе пакета примерно из 19 CVE для Elasticsearch и Kibana в тот же день; у остальных оценки от 4.2 до 8.3. Вторая запись, связанная с AI, — CVE-2026-78607 с оценкой 5.4, связанная с отсутствием авторизации в Elasticsearch custom inference service. Именно 8.8 здесь имеет значение, и его легко не заметить в массовом релизе.
Цепочка поставок приходит в обычную инфраструктуру
Собственный документированный рабочий процесс Elastic предполагает загрузку сторонних моделей с Hugging Face. Альтернативная мера в рекомендации — прекратить это делать.