Framework Veri İhlali 2026: Müşteri Bilgileri Çalındı

Kaç Müşteri Etkilendi

Framework, "tüm müşterileri" bilgilendirdiğini belirtti . Ancak Framework, etkilenen kişilerin kesin sayısını kamuoyuna açıklamadı. Şirket sözcüsü Eric Schumacher, TechCrunch'a ihlalin "tüm müşterileri" etkilediğini ancak bir rakam vermeyi reddettiğini söyledi . Bir rapor, Framework'ün bilinen kullanıcı topluluğu boyutuna dayanarak yaklaşık 18.000 müşteri tahmininde bulundu, ancak bu resmi bir rakam değil ve önemli ölçüde eksik tahmin olabilir .

Üst Akış Satıcısı: Metabase

Framework, ihlalin tamamen Metabase'ten kaynaklandığını belirtti . Bu, klasik bir tedarik zinciri saldırısıdır — Framework'ün kendi sistemleri doğrudan ihlal edilmedi, ancak güvenilen bir üçüncü taraf satıcı hedef alındı.

Güvenlik Açığı: CVE-2026-72898

Saldırı vektörü, Metabase yazılımındaki kritik, kimlik doğrulama gerektirmeyen SQL enjeksiyonu sıfırıncı gün (zero-day) güvenlik açığıydı . Temel özellikler:

• CVSS puanı: 10.0 (maksimum şiddet) — mümkün olan en yüksek puan
• CVE ID: CVE-2026-72898
• Etkilenen sürümler: Metabase sürüm 1.58 ila 1.63
• Saldırı yöntemi: Açık, uzaktaki bir saldırganın /reset_password uç noktası aracılığıyla Metabase uygulama veritabanına rastgele SQL enjekte etmesine izin vererek herhangi bir kimlik bilgisi olmadan tam yönetici erişimi sağlıyordu
• Etki: Saldırgan yönetici erişimi elde ettiğinde, saklanan veritabanı kimlik bilgilerini ve müşteri PII'si dahil erişilebilir tüm verileri çalabiliyordu

Metabase'in Kendi Açıklamaları

Metabase, olayı 6 Ağustos 2026'da ifşa etti ve Metabase Cloud SaaS platformunun daha önce bilinmeyen bu açık yoluyla tehlikeye atıldığını ortaya koydu . Önemli zaman çizelgesi ve detaylar:

• 3 Ağustos 2026: Sömürü gerçekleşti — yamadan üç gün önce
• 6 Ağustos 2026: Metabase, Framework ve form sağlayıcısı Tally dahil etkilenen bulut kiracılarını bilgilendirdi
• 7 Ağustos 2026: Olaylar kamuoyuna duyuruldu
• Acil yama: Metabase, 1.58+ sürümleri için düzeltmeler yayınladı. Kendi kendine barındırılan (self-hosted) 1.58 ila 1.63 sürümlerini çalıştıran örnekler de savunmasızdı ve acil güncelleme gerektiriyordu

Metabase, müşteri verilerinin ötesinde, açıktan yararlanmanın etkilenen örneklerden saklanan veritabanı kimlik bilgilerini, token'ları, API anahtarlarını ve diğer hassas yapılandırma verilerini ifşa edebileceği konusunda uyardı . Bu, patlama yarıçapının Framework'ün ifşa ettiği müşteri verilerinin ötesine geçtiği anlamına geliyor — saldırganlar potansiyel olarak Metabase'ten bağlı diğer sistemlere geçiş yapabilirdi.

Tedarik Zinciri Bağlamı: Daha Geniş Bir Kampanya

Etkilenen tek şirket Framework değildi. Metabase soruşturması ilerledikçe, en az beş şirket tehlikeye girdiklerini kamuoyuna doğruladı :

• Framework (7 Ağustos) — müşteri PII'si çalındı
• Tally (7 Ağustos) — form oluşturucu; müşteri e-posta adresleri ve parola hash'leri ifşa oldu
• n8n (8 Ağustos) — iş akışı otomasyon platformu
• Kilo Code / Anaconda (9 Ağustos) — yapay zeka kodlama platformu
• ChecklyHQ (10 Ağustos) — izleme platformu

Bu model, Metabase sıfırıncı gün açığının, Framework'e özel hedefli bir ihlal değil, birden çok bulut kiracısına karşı genel amaçlı bir saldırı olarak kullanıldığını gösteriyor.

Framework Müşterileri Ne Yapmalı?

Framework'ün resmi bildirimi, birden çok yayın organı tarafından bildirildiği üzere, müşteriler için rehberlik içeriyordu. Çalınan veri türlerine ve standart ihlal müdahale uygulamalarına dayanarak, etkilenen müşteriler şunları yapmalıdır:

1. Kimlik avı girişimlerine karşı dikkatli olun: Saldırganlar artık adları, e-posta adreslerini, telefon numaralarını ve fiziksel adresleri elinde tutuyor — son derece hedefli kimlik avı e-postaları, SMS mesajları ve hatta fiziksel posta dolandırıcılıkları için tüm malzemelere sahipler.
2. Hesapları şüpheli etkinliklere karşı izleyin: Giriş IP adresleri ifşa oldu; diğer hizmetlerde aynı şifreyi kullandıysanız, bunları değiştirmeyi düşünün.
3. İhlalle ilgili beklenmedik e-postalardaki bağlantılara tıklamayın: Saldırganlar, daha fazla bilgi elde etmek veya kötü amaçlı yazılım yüklemek için kurbanları kandırmak amacıyla muhtemelen Framework veya güvenlik hizmetlerini taklit edecektir.
4. Yalnızca resmi Framework iletişimlerini kontrol edin: Şirket, veri depolama yöntemini incelediğini ve iyileştirdiğini ve resmi kanalları aracılığıyla güncellemeler sağlayacağını söyledi .

Framework sözcüsü TechCrunch'a şirketin "bu bilgi ihlalinden dolayı çok üzgün olduğunu" ve veri depolama yöntemini "incelediğini ve iyileştirdiğini" söyledi .

Önemli Çıkarımlar

• Framework'ün tüm müşteri veritabanı, Framework'ün kendi altyapısına doğrudan bir ihlal yoluyla değil, Metabase'teki bir tedarik zinciri saldırısı yoluyla tehlikeye atıldı.
• Çalınan veriler PII'yi (isimler, adresler, telefon numaraları, e-postalar) içeriyor, ancak ödeme veya sipariş bilgilerini içermiyor.
• Kullanılan güvenlik açığı, Metabase sürüm 1.58-1.63'teki bir CVSS 10.0 ön kimlik doğrulama SQL enjeksiyonu olan CVE-2026-72898 idi.
• Framework, tüm müşteriler bilgilendirilmiş olmasına rağmen kesin müşteri sayılarını açıklamadı.
• Aynı Metabase sıfırıncı gün kampanyasından en az beş şirket etkilendi.
• Etkilenen sürümlerdeki kendi kendine barındırılan tüm Metabase kullanıcıları, Ağustos 2026 başında hemen yama yapmış olmalıdır.