JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031463 Elasticsearchは、検索ハイライトオプションで受け入れられるユーザー提供のカウントに対する上限を強制しておらず、そのカウントから派生する割り当てはサーキットブレーカーに計上されません。単一の検索可能なインデックスに対して読み取り権限のみを持つ認証ユーザーは、ノードに過剰に大きな内部データ構造を確保させる小さな検索リクエストを1回送信できます。この割り当ては既存のハイライト安全制限が評価される前に発生するため、メモリ不足が致命的なエラーを引き起こし、Elasticsearchノードプロセスを終了させます。これにより影響を受けるノードがサービス拒否状態になり、クラスタのルーティングと健全性が低下します。この欠陥はボリューム依存ではなくインデックスデータのサイズにも依存しないため、単一のリクエストで悪影響を及ぼします。 cpe:/a:elastic:elasticsearch https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031463.html Common Vulnerabilities and Exposures (CVE) CVE-2026-72639 https://www.cve.org/CVERecord?id=CVE-2026-72639 National Vulnerability Database (NVD) CVE-2026-72639 https://nvd.nist.gov/vuln/detail/CVE-2026-72639 JVNDB CWE-789 https://cwe.mitre.org/data/definitions/789.html Topics Elasticsearch 8.19.20, 9.4.5, 9.5.1 Security Update (ESA-2026-120) - Announcements / Security Announcements - Discuss the Elastic Stack https://discuss.elastic.co/t/elasticsearch-8-19-20-9-4-5-9-5-1-security-update-esa-2026-120/389503 2026-09-02T14:49:01+09:00 2026-09-02T14:49:01+09:00