Veille sécuritéBackend & données
P3Élevée
Une récursion incontrôlée dans Elasticsearch permet à un attaquant non authentifié disposant d’un accès réseau à l’interface serveur du cluster de provoquer l’arrêt d’un nœud. Les versions affectées indiquées sont 8.10.0 à 8.19.23, 9.0.0 à 9.4.8 et 9.5.0 à 9.5.5.
Elasticsearch
IdentifiantCVE-2026-115290
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-115290
Analyse technique
La requête spécialement construite peut faire terminer le nœud ciblé; l’attaque peut être répétée contre les nœuds accessibles.
Impact, versions et correctif
Événement datéNouvelle fiche CVE publiée le 2026-11-03 à 17:17:54Z, soit 2026-11-03T19:17:54+02:00, dans la période demandée. La mise à jour NVD du même jour est rattachée à cette publication, sans être comptée comme un événement distinct.
ImpactDéni de service et arrêt des nœuds Elasticsearch accessibles.
Versions affectées8.10.0–8.19.23; 9.0.0–9.4.8; 9.5.0–9.5.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Publication2026-11-03T19:17:54+02:00
Mise à jour2026-11-03T22:32:50+02:00
Action recommandée
Mettre à niveau vers une version corrigée indiquée par Elastic; limiter l’accès réseau à l’interface serveur du cluster.
Sources
Priorisation DFS : P3 · 1 source(s).