Framework-databrud i 2026: Alt hvad du behøver at vide om Metabase-zero-day-angrebet

Hvor mange kunder er berørt

Framework oplyste, at de havde underrettet "alle kunder" – hvilket betyder, at hele kundebasen er ramt . Framework har dog ikke offentliggjort det præcise antal berørte personer. Virksomhedens talsperson, Eric Schumacher, fortalte til TechCrunch, at bruddet berørte "alle kunder", men ønskede ikke at oplyse et tal . En enkelt rapport estimerede omkring 18.000 kunder baseret på Frameworks kendte brugerfællesskabs størrelse, men dette er ikke et officielt tal og kan være en betydelig undervurdering .

Opstrømsleverandøren: Metabase

Framework gav udelukkende Metabase skylden for bruddet – den open source business intelligence-platform (BI), som Framework brugte til at hoste sine analysedata . Dette er et klassisk supply chain-angreb: Frameworks egne systemer blev ikke direkte brudt, men en betroet tredjepartsleverandør blev det.

Sårbarheden: CVE-2026-72898

Angrebsvektoren var en kritisk, ikke-godkendt SQL-injektion zero-day-sårbarhed i Metabases software . Nøglekarakteristika:

• CVSS-score: 10.0 (maksimal alvorlighed) – den højest mulige vurdering
• CVE-ID: CVE-2026-72898
• Berørte versioner: Metabase version 1.58 til 1.63
• Angrebsmetode: Udnyttelsen tillod en fjernangriber at injicere vilkårlig SQL i Metabases applikationsdatabase via /reset_password-endpointet, hvilket gav fuld administrativ adgang uden nogen legitimationsoplysninger
• Konsekvens: Når en angriber først havde opnået admin-adgang, kunne de stjæle lagrede databaselegitimationsoplysninger og alle tilgængelige data, herunder kunders PII

Hvad Metabase selv oplyste

Metabase offentliggjorde hændelsen den 6. august 2026 og afslørede, at deres Metabase Cloud SaaS-platform var blevet kompromitteret via denne hidtil ukendte sårbarhed . Vigtige tidslinje- og detaljer:

• 3. august 2026: Udnyttelsen fandt sted – tre dage før patch'en blev frigivet
• 6. august 2026: Metabase underrettede berørte cloud-lejere, herunder Framework og formularudbyderen Tally
• 7. august 2026: Hændelserne blev offentlige
• Nødrettelse: Metabase frigav rettelser til version 1.58+. Selv-hostede installationer, der kørte version 1.58 til 1.63, var også sårbare og krævede øjeblikkelig opdatering

Metabase advarede om, at ud over kundedata kunne udnyttelsen eksponere lagrede databaselegitimationsoplysninger, tokens, API-nøgler og andre følsomme konfigurationsdata fra berørte installationer . Det betyder, at sprængradius var større end blot de kundedata, Framework rapporterer om – angribere kunne potentielt bevæge sig fra Metabase til andre tilsluttede systemer.

Supply Chain-kontekst: En bredere kampagne

Framework var ikke det eneste firma, der blev ramt. Da Metabase-undersøgelsen skred frem, bekræftede mindst fem virksomheder offentligt, at de var blevet kompromitteret :

• Framework (7. august) – kunders PII stjålet
• Tally (7. august) – formularbygger; kunders e-mailadresser og password-hashes eksponeret
• n8n (8. august) – workflow-automatiseringsplatform
• Kilo Code / Anaconda (9. august) – AI-kodningsplatform
• ChecklyHQ (10. august) – overvågningsplatform

Dette mønster viser, at Metabase-zero-day'en blev udnyttet som et generelt angreb mod flere cloud-lejere, ikke et målrettet brud specifikt mod Framework.

Hvad Framework-kunder bør gøre

Frameworks officielle underretning, som rapporteret af flere medier, indeholdt vejledning til kunder. Baseret på de typer data, der blev stjålet, og standardpraksis for håndtering af databrud, bør berørte kunder:

1. Hold øje med phishing-forsøg: Angribere har nu navne, e-mailadresser, telefonnumre og fysiske adresser – alle ingredienser til meget målrettede phishing-e-mails, SMS-beskeder eller endda fysiske postsvindel
2. Overvåg konti for mistænkelig aktivitet: Login-IP-adresser blev eksponeret; hvis du genbrugte adgangskoder på andre tjenester, bør du overveje at ændre dem
3. Klik ikke på links i uventede e-mails om bruddet: Angribere vil sandsynligvis udgive sig for at være Framework eller sikkerhedstjenester for at narre ofre til at afsløre flere oplysninger eller installere malware
4. Hold dig kun til officielle Framework-kommunikationer: Virksomheden oplyste, at de gennemgår og forbedrer deres metode til datalagring og vil give opdateringer via deres officielle kanaler

Frameworks talsperson sagde til TechCrunch, at virksomheden er "dybt ked af dette brud på information" og "gennemgår og forbedrer" deres metode til datalagring .

De vigtigste pointer

• Frameworks hele kundedatabase blev kompromitteret via et supply chain-angreb på Metabase, ikke et direkte brud på Frameworks egen infrastruktur
• Stjålne data omfatter PII (navne, adresser, telefonnumre, e-mails), men ikke betalings- eller ordreoplysninger
• Den anvendte sårbarhed var CVE-2026-72898, en CVSS 10.0 pre-authentication SQL-injektion i Metabase version 1.58–1.63
• Framework har ikke offentliggjort det præcise antal kunder, selvom alle kunder blev underrettet
• Mindst fem virksomheder blev ramt af den samme Metabase-zero-day-kampagne
• Alle selv-hostede Metabase-brugere på berørte versioner burde have patchet øjeblikkeligt i begyndelsen af august 2026