Framework-datalek 2026: wat er gebeurde, welke gegevens zijn gestolen en wat je moet weten

Hoeveel klanten zijn getroffen

Framework verklaarde dat het "alle klanten" heeft geïnformeerd – de inbraak trof dus de volledige klantenbasis . Het bedrijf heeft echter geen exact aantal getroffen personen bekendgemaakt. Woordvoerder Eric Schumacher liet aan TechCrunch weten dat de inbraak "alle klanten" trof, maar noemde geen cijfer . Eén schatting ging uit van ongeveer 18.000 klanten op basis van de bekende omvang van Frameworks gebruikersgemeenschap, maar dat is geen officieel cijfer en kan een flinke onderschatting zijn .

De upstream-leverancier: Metabase

Framework wees de inbraak volledig toe aan Metabase, het opensource-platform voor businessintelligence (BI) dat Framework gebruikte voor zijn analysedata . Dit is een klassieke supply-chain-aanval: Frameworks eigen systemen werden niet direct binnengedrongen, maar een vertrouwde externe leverancier wel.

De kwetsbaarheid: CVE-2026-72898

Het aanvalsvector was een kritieke, ongeauthenticeerde SQL-injectie zero-day-kwetsbaarheid in Metabases software . Belangrijke kenmerken:

• CVSS-score: 10,0 (maximale ernst) – de hoogst mogelijke beoordeling
• CVE-ID: CVE-2026-72898
• Getroffen versies: Metabase-versies 1.58 tot en met 1.63
• Aanvalsmethode: De exploit stelde een externe aanvaller in staat om willekeurige SQL in de Metabase-applicatiedatabase te injecteren via het /reset_password-eindpunt, waarmee volledige beheerdersrechten werden verkregen zonder enige inloggegevens
• Impact: Zodra een aanvaller beheerdersrechten had, konden opgeslagen database-inloggegevens en alle toegankelijke gegevens worden gestolen, waaronder klant-PII

Wat Metabase zelf heeft gemeld

Metabase openbaarde het incident op 6 augustus 2026 en onthulde dat zijn Metabase Cloud SaaS-platform was gecompromitteerd via deze voorheen onbekende kwetsbaarheid . Belangrijke tijdlijn en details:

• 3 augustus 2026: De exploitatie vond plaats – drie dagen voordat de patch werd uitgebracht
• 6 augustus 2026: Metabase stelde getroffen cloud-klanten op de hoogte, waaronder Framework en formulierbouwer Tally
• 7 augustus 2026: De incidenten werden openbaar
• Noodpatch: Metabase bracht fixes uit voor versies 1.58+. Lokaal gehoste exemplaren die versies 1.58 tot en met 1.63 draaiden, waren ook kwetsbaar en moesten direct worden bijgewerkt

Metabase waarschuwde dat de exploit naast klantgegevens ook opgeslagen database-inloggegevens, tokens, API-sleutels en andere gevoelige configuratiegegevens uit getroffen exemplaren kon blootleggen . Dat betekent dat de schade verder reikte dan alleen de klantgegevens die Framework nu meldt – aanvallers konden mogelijk vanuit Metabase naar andere aangesloten systemen overspringen.

Context van de supply-chain: een grotere campagne

Framework was niet het enige getroffen bedrijf. Terwijl het Metabase-onderzoek vorderde, bevestigden ten minste vijf bedrijven openlijk dat ze waren gecompromitteerd :

• Framework (7 augustus) – klant-PII gestolen
• Tally (7 augustus) – e-mailadressen en wachtwoordhashes van klanten buitgemaakt
• n8n (8 augustus) – workflowautomatiseringsplatform
• Kilo Code / Anaconda (9 augustus) – AI-codeerplatform
• ChecklyHQ (10 augustus) – monitoringplatform

Dit patroon toont aan dat de Metabase zero-day werd misbruikt als een algemeen inzetbaar wapen tegen meerdere cloud-klanten, en niet als een gerichte aanval op Framework.

Wat Framework-klanten moeten doen

Frameworks officiële melding, zoals gerapporteerd door meerdere media, bevatte advies voor klanten. Op basis van de gestolen gegevens en standaardprocedures na een datalek, moeten getroffen klanten:

1. Oppassen voor phishing-pogingen: Aanvallers hebben nu namen, e-mailadressen, telefoonnummers en fysieke adressen – alle ingrediënten voor zeer gerichte phishing-e-mails, sms'jes of zelfs fysieke scam-brieven
2. Rekeningen controleren op verdachte activiteiten: Inlog-IP-adressen zijn buitgemaakt; als je wachtwoorden op andere diensten hergebruikt, overweeg ze dan te wijzigen
3. Klik niet op links in onverwachte e-mails over het datalek: Aanvallers zullen zich waarschijnlijk voordoen als Framework of beveiligingsdiensten om slachtoffers te verleiden meer informatie prijs te geven of malware te installeren
4. Raadpleeg alleen officiële communicatie van Framework: Het bedrijf zei zijn methoden voor gegevensopslag te herzien en te verbeteren en updates te verstrekken via de officiële kanalen

Frameworks woordvoerder liet TechCrunch weten dat het bedrijf "diep spijt heeft van dit datalek" en zijn "methoden voor gegevensopslag herziet en verbetert" .

Belangrijkste punten

• De volledige klantendatabase van Framework is gecompromitteerd via een supply-chain-aanval op Metabase, niet door een directe inbraak in Frameworks eigen infrastructuur
• Gestolen gegevens omvatten PII (namen, adressen, telefoonnummers, e-mails), maar geen betalings- of bestelgegevens
• De gebruikte kwetsbaarheid was CVE-2026-72898, een CVSS 10.0 pre-authenticatie SQL-injectie in Metabase-versies 1.58-1.63
• Framework heeft geen exacte klantenaantallen bekendgemaakt, al zijn alle klanten op de hoogte gesteld
• Ten minste vijf bedrijven werden getroffen door dezelfde Metabase zero-day-campagne
• Alle lokaal gehoste Metabase-gebruikers op getroffen versies moesten begin augustus 2026 direct patchen