Resumo Executivo
Em 7 de agosto de 2026, o CEO do Metabase, Sameer Al-Sakran, emitiu um comunicado de emergência referente a uma vulnerabilidade zero-day crítica de injeção de SQL não autenticada que afeta tanto o Metabase Cloud SaaS quanto instâncias self-hosted (v1.58+). Esta falha de alta severidade tem sido explorada ativamente por agentes de ameaças para obter controle administrativo total sobre os ambientes afetados. Esses ataques resultaram em roubo significativo de dados de clientes em várias empresas proeminentes de tecnologia e SaaS. Organizações incluindo Framework, Tally e LexisNexis foram identificadas como alvos nesta campanha global, onde os atacantes exfiltraram com sucesso registros de banco de dados confidenciais ao contornar mecanismos de autenticação padrão.
Análise Técnica Aprofundada
A vulnerabilidade é caracterizada por uma injeção de SQL em um endpoint de API não autenticado, recebendo uma classificação de severidade máxima de CVSS 10.0. O cerne do problema reside em falhas de validação de entrada durante a construção de consultas brutas. Ao manipular parâmetros enviados para a API vulnerável, os atacantes conseguiram contornar completamente os limites de autenticação, executando comandos SQL arbitrários contra a infraestrutura de backend.
O impacto desta injeção é total; a vulnerabilidade fornece um caminho direto de escalonamento para privilégios administrativos completos do Metabase. Com esses direitos elevados, os agentes de ameaças obtiveram acesso a:
* Conexões e configurações de banco de dados subjacentes.
* Tabelas de contas de usuário contendo dados de identidade confidenciais.
* Hashes de senhas armazenados para todos os usuários da plataforma.
O impacto no mundo real foi confirmado em várias grandes organizações. Em 3 de agosto, a fabricante de hardware Framework e o criador de formulários online Tally confirmaram violações resultando na exposição de diretórios de e-mail e hashes de senhas. Além disso, a cadeia de exploração estendeu-se a comprometimentos de fornecedores terceirizados, afetando especificamente instâncias da API LexisNexis Diligence e Newsdesk.
Impacto na Indústria e Recomendações/Mitigações
Para se defender contra a exploração em curso e proteger ambientes comprometidos, as empresas que utilizam o Metabase devem implementar as seguintes estratégias de mitigação imediatamente:
* Atualizações de Software Imediatas: Todas as instâncias do Metabase self-hosted devem ser atualizadas para as versões corrigidas mais recentes para fechar o vetor de injeção de SQL não autenticada.
* Rotação de Credenciais e Tokens: As organizações devem realizar uma rotação de emergência de todas as credenciais de conexão de banco de dados, chaves de API e tokens administrativos que estavam armazenados nos arquivos de configuração do Metabase, pois estes devem ser considerados comprometidos.
* Protocolos de Segurança de Senhas: Implementar protocolos obrigatórios de redefinição de senha para todas as contas de usuário potencialmente comprometidas. As organizações devem, simultaneamente, validar e aplicar o uso de hashing de senha salted argon2 ou bcrypt para aumentar a segurança das credenciais.
* Isolamento de Rede: Mova os backends de inteligência de negócios e análise para fora da internet pública. Proteja essas instâncias sensíveis atrás de perímetros de Acesso à Rede Zero Trust (ZTNA) ou VPN para garantir que apenas usuários autenticados e autorizados possam acessar a camada de aplicação.