Kebocoran Data Framework 2026: Apa Yang Berlaku, Data Apa Dicuri, Dan Tindakan Yang Perlu Diambil

Framework dengan jelas menyatakan bahawa tiada maklumat pembayaran atau pesanan telah diakses. Nombor kad kredit, butiran akaun kewangan dan sejarah pembelian tidak terjejas . Ini adalah perbezaan penting — walaupun kebocoran ini serius dan mendedahkan pelanggan kepada risiko pancingan data (phishing) dan kejuruteraan sosial, data akaun kewangan kekal selamat.

Berapa Ramai Pelanggan Terjejas

Framework menyatakan bahawa ia memaklumkan "semua pelanggan" — bermakna kebocoran ini menjejaskan keseluruhan pangkalan data pelanggannya . Bagaimanapun, Framework tidak mendedahkan jumlah sebenar individu yang terjejas. Jurucakap syarikat, Eric Schumacher, memberitahu TechCrunch bahawa kebocoran itu menjejaskan "semua pelanggan" tetapi enggan menyatakan angka tertentu . Satu laporan menganggarkan kira-kira 18,000 pelanggan berdasarkan saiz komuniti pengguna Framework yang diketahui, tetapi ini bukan angka rasmi dan mungkin jauh lebih rendah daripada jumlah sebenar .

Vendor Huluan: Metabase

Framework menuding jari sepenuhnya kepada Metabase, platform kecerdasan perniagaan sumber terbuka (BI) yang digunakan oleh Framework untuk menghoskan data analitiknya . Ini adalah serangan rantaian bekalan yang tipikal — sistem Framework sendiri tidak ditembusi secara langsung, tetapi vendor pihak ketiga yang dipercayai telah terjejas.

Kelemahan: CVE-2026-72898

Vektor serangan adalah kelemahan suntikan SQL zero-day kritikal tanpa pengesahan dalam perisian Metabase . Ciri-ciri utama:

• Skor CVSS: 10.0 (keterukan maksimum) — penarafan tertinggi yang mungkin
• ID CVE: CVE-2026-72898
• Versi terjejas: Metabase versi 1.58 hingga 1.63
• Kaedah serangan: Eksploitasi ini membolehkan penyerang jauh menyuntik SQL arbitrari ke dalam pangkalan data aplikasi Metabase melalui titik akhir /reset_password, memberikan akses pentadbir penuh tanpa sebarang kelayakan
• Kesan: Sebaik sahaja penyerang mendapat akses pentadbir, mereka boleh mencuri kelayakan pangkalan data yang disimpan dan sebarang data yang boleh diakses, termasuk PII pelanggan

Apa Yang Metabase Sendiri Dedahkan

Metabase mendedahkan insiden itu pada 6 Ogos 2026, mendedahkan bahawa platform Metabase Cloud SaaSnya telah terjejas melalui kelemahan yang tidak diketahui sebelum ini . Garis masa dan butiran utama:

• 3 Ogos 2026: Eksploitasi berlaku — tiga hari sebelum tampung dikeluarkan
• 6 Ogos 2026: Metabase memaklumkan penyewa awan yang terjejas, termasuk Framework dan penyedia borang, Tally
• 7 Ogos 2026: Insiden itu menjadi umum
• Tampung kecemasan: Metabase mengeluarkan pembetulan untuk versi 1.58+. Contoh pemasangan sendiri yang menjalankan versi 1.58 hingga 1.63 juga terdedah dan memerlukan kemas kini segera

Metabase memberi amaran bahawa, selain data pelanggan, eksploitasi itu boleh mendedahkan kelayakan pangkalan data yang disimpan, token, kunci API dan data konfigurasi sensitif lain daripada contoh yang terjejas . Ini bermakna jejak letupan (blast radius) melangkaui data pelanggan yang didedahkan oleh Framework — penyerang berpotensi untuk beralih dari Metabase ke sistem lain yang bersambung.

Konteks Rantaian Bekalan: Kempen Yang Lebih Luas

Framework bukan satu-satunya syarikat yang terjejas. Semasa siasatan Metabase berlangsung, sekurang-kurangnya lima syarikat secara terbuka mengesahkan mereka terjejas :

• Framework (7 Ogos) — PII pelanggan dicuri
• Tally (7 Ogos) — pembina borang; alamat e-mel dan hash kata laluan pelanggan terdedah
• n8n (8 Ogos) — platform automasi aliran kerja
• Kilo Code / Anaconda (9 Ogos) — platform pengekodan AI
• ChecklyHQ (10 Ogos) — platform pemantauan

Corak ini menunjukkan bahawa zero-day Metabase dieksploitasi sebagai serangan tujuan umum terhadap beberapa penyewa awan, bukan kebocoran yang disasarkan secara khusus terhadap Framework.

Apa Yang Perlu Dilakukan Oleh Pelanggan Framework

Notis rasmi Framework, seperti yang dilaporkan oleh beberapa saluran, termasuk panduan untuk pelanggan. Berdasarkan jenis data yang dicuri dan amalan tindak balas kebocoran standard, pelanggan yang terjejas dinasihatkan supaya:

1. Berhati-hati dengan percubaan pancingan data (phishing): Penyerang kini mempunyai nama, alamat e-mel, nombor telefon dan alamat fizikal — semua bahan untuk e-mel pancingan data yang disasarkan, mesej SMS, atau bahkan penipuan mel fizikal
2. Pantau akaun untuk aktiviti yang mencurigakan: Alamat IP log masuk telah terdedah; jika anda menggunakan semula kata laluan pada perkhidmatan lain, pertimbangkan untuk menukarnya
3. Jangan klik pautan dalam e-mel yang tidak dijangka tentang kebocoran ini: Penyerang kemungkinan akan menyamar sebagai Framework atau perkhidmatan keselamatan untuk memperdaya mangsa supaya mendedahkan lebih banyak maklumat atau memasang perisian hasad
4. Semak hanya komunikasi rasmi Framework: Syarikat itu menyatakan bahawa ia sedang mengkaji dan menambah baik metodologinya untuk penyimpanan data dan akan memberikan kemas kini melalui saluran rasminya

Jurucakap Framework memberitahu TechCrunch bahawa syarikat itu "amat menyesal atas kebocoran maklumat ini" dan sedang "mengkaji dan menambah baik" metodologi penyimpanan datanya .

Rumusan Utama

• Keseluruhan pangkalan data pelanggan Framework terjejas melalui serangan rantaian bekalan ke atas Metabase, bukan kebocoran langsung infrastruktur Framework sendiri
• Data yang dicuri termasuk PII (nama, alamat, nombor telefon, e-mel), tetapi bukan maklumat pembayaran atau pesanan
• Kelemahan yang digunakan ialah CVE-2026-72898, suntikan SQL pra-pengesahan CVSS 10.0 dalam Metabase versi 1.58-1.63
• Framework tidak mendedahkan jumlah sebenar pelanggan, walaupun semua pelanggan telah dimaklumkan
• Sekurang-kurangnya lima syarikat terjejas oleh kempen zero-day Metabase yang sama
• Semua pengguna Metabase pemasangan sendiri pada versi terjejas sepatutnya telah menampal segera pada awal Ogos 2026