Metabase, Hersteller einer quelloffenen Datenanalyse-Software, hat bekannt gegeben, dass Cyberkriminelle eine bis dahin unbekannte Sicherheitslücke ausgenutzt haben, um sich Zugriff auf Kundeninstanzen zu verschaffen. Die Schwachstelle trägt die Kennungen EUVD-2026-55690 und CVE-2026-72898 und erreicht den maximalen CVSS-Score von 10.0.
Maximale Kritikalität, bereits aktiv ausgenutzt
Metabase beschreibt die Lücke als SQL-Schwachstelle in der Metabase Cloud, betroffen sind die Enterprise-Versionen ab 1.58. Der Hersteller stufte sie von Anfang an als maximal kritisch ein, blockierte die für den Angriff genutzten Endpunkte sofort und identifizierte sowie behob die Ursache. Cloud-Instanzen der Kunden sind bereits aktualisiert und gepatcht, selbst gehostete Systeme können jedoch noch verwundbar sein. Die CISA hat die Schwachstelle am 11. August 2026 in ihren KEV-Katalog aufgenommen, aktive Angriffe laufen bereits.
Die SQL-Zero-Day lässt sich ohne Authentifizierung ausnutzen und kann Angreifern sogar Administratorzugriff auf anfällige Kundeninstanzen verschaffen. Damit ließe sich die Anwendungskonfiguration ändern, gespeicherte Zugangsdaten für verbundene Datenbanken entwenden und darüber zugängliche Daten lesen und exportieren.
Betroffene Versionen und Schutzmaßnahmen
Alle betroffenen Zweige der Open-Source-Edition von 0.58 bis 0.63 hat der Hersteller inzwischen abgesichert. Als sicher gelten die Versionen 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 und 0.63.5. Wenn du Metabase selbst hostest, solltest du umgehend auf eine dieser Versionen aktualisieren. Metabase empfiehlt zusätzlich, alle aktiven Benutzersitzungen zu beenden, API-Schlüssel und Administratorkonten auf unbefugte Änderungen zu prüfen, Zugangsdaten für angebundene Datenbanken zu ändern und Protokolle sowie Abfrageverläufe auf Anzeichen einer Kompromittierung zu untersuchen. Wer nicht sofort aktualisieren kann, sollte den Zugriff auf den Endpunkt „/api/session/reset_password" vorübergehend sperren. Ein Hinweis auf laufende Angriffe: Eine POST-Anfrage an diesen Endpunkt liefert den Statuscode 400, gefolgt von einer erfolgreichen GET-Anfrage an „/api/user/current".
Kunden des Notebook-Herstellers Framework betroffen
Laut Berichten waren vor allem Kunden des Notebook-Herstellers Framework von dem Vorfall betroffen. Angreifer konnten demnach vollständige Namen, E-Mail-Adressen, Login-IPs, Rechnungs- und Lieferadressen, Telefonnummern und Unternehmensnamen von Kunden einsehen. Weitere personenbezogene Daten sowie Bestell- und Zahlungsinformationen sollen nicht abgeflossen sein. Framework zufolge nutzten die Angreifer die Zero-Day-Lücke bereits am 3. August aus, Metabase informierte das Unternehmen am 6. August darüber. Auch der Formular-Anbieter Tally und der Informationsdienstleister Lexisnexis haben ihre Nutzer über den Vorfall bei dem Drittanbieter informiert.