EXPLOIT PÚBLICODetectada 05 NOV · 11:02

CVE-2026-115290 Recursión no controlada en Elasticsearch permite denegación de servicio

Una recursión no controlada (CWE-674) en Elasticsearch permite a un atacante no autenticado con acceso de red a la interfaz del servidor de clúster remoto enviar una petición especialmente diseñada que provoca la terminación del nodo. No se requieren credenciales y el atacante puede repetir la petición contra cada nodo alcanzable.

7.5ALTA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,4 % · percentil 35
Explotada activamenteNo confirmada
Exploit públicoSí, 1

Afectados

Elastic Elasticsearch
desde 8.10.0 hasta 8.19.23desde 9.0.0 hasta 9.4.8desde 9.5.0 hasta 9.5.5

Qué hacer

Verificá si usás Elasticsearch y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Priorizá la corrección: hay código de explotación público.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

googlesky/CVE-2026-115290 PoC for CVE-2026-115290 (Elasticsearch unauthenticated DoS via the remote cluster server port, CWE-674, ESA-2026-201): validated node kill in a containerized A/B lab (8.19.23 vs 8.19.24)05 NOV · 11:02

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadNinguna
IntegridadNinguna
DisponibilidadAlta

Descripción original

Uncontrolled Recursion (CWE-674) in Elasticsearch can lead to denial of service via Serialized Data with Nested Payloads (CAPEC-230). An unauthenticated attacker with network access to the remote cluster server interface of a node can send a specially crafted request that causes the node to terminate. No credentials are required. The attacker can repeat the request against each reachable node.

Referencias (1)

discuss.elastic.co/t/elasticsearch-8-19-24-9-4-9-9-5-6-security-update-esa-2026-201/391356

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.