Framework-dataintrång 2026: Alla kunders personuppgifter stulna – så gick det till

Hur många kunder drabbades?

Framework uppgav att de meddelade "samtliga kunder" – alltså hela kundbasen . Företaget har dock inte offentliggjort exakt antal drabbade. Eric Schumacher, talesperson för Framework, sade till TechCrunch att intrånget rörde "alla kunder" men ville inte specificera en siffra . En rapport uppskattade antalet till cirka 18 000 kunder baserat på Frameworks kända användarcommunity, men detta är inofficiellt och kan vara en grov underskattning .

Underleverantören: Metabase

Framework lägger hela skulden på Metabase, en plattform för business intelligence (BI) som Framework använde för sin analysdata . Detta är ett klassiskt exempel på en leveranskedjeattack – Frameworks egna system var inte direkt utsatta, men en betrodd tredjepartsleverantör var det.

Sårbarheten: CVE-2026-72898

Attackvektorn var en kritisk, oautentiserad SQL-injektion – en zero-day-sårbarhet i Metabases programvara . Viktiga egenskaper:

• CVSS-poäng: 10,0 (maximal allvarlighetsgrad)
• CVE-ID: CVE-2026-72898
• Berörda versioner: Metabase version 1.58 till 1.63
• Attackmetod: Sårbarheten gjorde det möjligt för en fjärrangripare att injicera godtycklig SQL i Metabases databas via slutpunkten /reset_password, vilket gav full administratörsbehörighet utan inloggningsuppgifter
• Effekt: När angriparen väl hade adminbehörighet kunde de stjäla lagrade databasuppgifter och all tillgänglig data, inklusive kunders PII

Vad Metabase själva avslöjade

Metabase offentliggjorde incidenten den 6 augusti 2026 och meddelade att deras Metabase Cloud SaaS-plattform hade komprometterats via den tidigare okända sårbarheten . Viktiga detaljer:

• 3 augusti 2026: Exploateringen ägde rum – tre dagar innan korrigeringen släpptes
• 6 augusti 2026: Metabase meddelade berörda molnkunder, däribland Framework och formulärverktyget Tally
• 7 augusti 2026: Incidenten blev offentlig
• Akutkorrigering: Metabase släppte korrigeringar för version 1.58+. Även egenhostade installationer med version 1.58 till 1.63 var sårbara och krävde omedelbar uppdatering

Metabase varnade för att sårbarheten, förutom kunddata, kunde exponera lagrade databasuppgifter, tokens, API-nycklar och annan känslig konfigurationsdata från drabbade instanser . Det innebär att skadeverkningarna sträcker sig längre än bara de kunddata som Framework nu redovisar – angripare kan potentiellt ha tagit sig vidare från Metabase till andra anslutna system.

Leveranskedjan: En bredare kampanj

Framework var inte det enda företaget som drabbades. I takt med att utredningen kring Metabase fortskred bekräftade minst fem företag offentligt att de komprometterats :

• Framework (7 augusti) – kunders PII stulen
• Tally (7 augusti) – formulärbyggare; kunders e-postadresser och lösenordshashar exponerades
• n8n (8 augusti) – plattform för arbetsflödesautomation
• Kilo Code / Anaconda (9 augusti) – AI-kodningsplattform
• ChecklyHQ (10 augusti) – övervakningsplattform

Detta mönster visar att Metabases zero-day utnyttjades som ett generiskt angrepp mot flera molnkunder, inte som en riktad attack specifikt mot Framework.

Vad Framework-kunder bör göra

Frameworks officiella meddelande, som rapporterats av flera medier, innehöll vägledning till kunder. Baserat på de uppgifter som stulits och standardpraxis vid intrång bör drabbade kunder:

1. Vara vaksamma på nätfiskeförsök: Angripare har nu namn, e-postadresser, telefonnummer och fysiska adresser – alla ingredienser för mycket riktade nätfiskemejl, SMS eller till och med fysisk bluffpost.
2. Övervaka konton för misstänkt aktivitet: Inloggnings-IP-adresser har exponerats; om du återanvänt lösenord på andra tjänster bör du överväga att byta dem.
3. Klicka inte på länkar i oväntade mejl om intrånget: Angripare kommer sannolikt att utge sig för att vara Framework eller säkerhetstjänster för att lura offer att lämna ifrån sig mer information eller installera skadlig programvara.
4. Följ endast officiella kanaler från Framework: Företaget uppger att de ser över och förbättrar sin metod för datalagring och kommer att lämna uppdateringar via sina officiella kanaler

Frameworks talesperson sade till TechCrunch att företaget är "djupt ledsna över detta informationsläckage" och att de "ser över och förbättrar" sin metod för datalagring .

Viktiga slutsatser

• Frameworks hela kunddatabas komprometterades via en leveranskedjeattack mot Metabase, inte via ett direkt intrång i Frameworks egen infrastruktur
• Stulen data omfattar PII (namn, adresser, telefonnummer, e-post), men inte betal- eller orderinformation
• Sårbarheten som utnyttjades var CVE-2026-72898, en CVSS 10,0 förinloggnings-SQL-injektion i Metabase version 1.58–1.63
• Framework har inte offentliggjort exakt antal kunder, men samtliga kunder meddelades
• Minst fem företag drabbades av samma Metabase zero-day-kampanj
• Alla egenhostade Metabase-användare på berörda versioner borde ha korrigerat omedelbart i början av augusti 2026