Framework 全線客戶資料外洩：Metabase 零日漏洞成罪魁禍首，信用卡資料無恙

有多少客戶受影響？

Framework 表示已通知「所有客戶」，意味著整個客戶數據庫都受到影響 。不過，Framework 沒有公開實際受影響人數。公司發言人 Eric Schumacher 向 TechCrunch 確認「所有客戶」都受波及，但拒絕提供具體數字 。有報告根據已知的 Framework 用戶社群規模，估計大約有 18,000 名客戶受影響，但這個數字並非官方公佈，實際數字可能遠高於此 。

上游供應商：Metabase

Framework 將這次洩漏完全歸咎於 Metabase——一個開源的商業智能（BI）平台，Framework 一直用它來托管分析數據 。這是典型的供應鏈攻擊：Framework 自己的系統沒有直接被入侵，但一個值得信賴的第三方供應商被攻破了。

漏洞：CVE-2026-72898

攻擊者利用的是 Metabase 軟件中的一個關鍵級未經認證 SQL 注入零日漏洞 。主要特點：

• CVSS 評分：10.0（最高嚴重級別）
• CVE ID：CVE-2026-72898
• 受影響版本：Metabase 1.58 至 1.63 版本
• 攻擊方法：黑客透過 /reset_password 端點注入任意 SQL，無需任何憑證就能取得完整管理員權限
• 影響：取得管理員權限後，黑客即可竊取已儲存的數據庫憑證及任何可存取的資料，包括客戶 PII

Metabase 自己說了甚麼？

Metabase 在 2026 年 8 月 6 日披露事件，承認其 Metabase Cloud SaaS 平台被這個從未公開的漏洞入侵 。關鍵時間線及詳情：

• 2026 年 8 月 3 日：漏洞被利用——比修補程式發佈早了三天
• 2026 年 8 月 6 日：Metabase 通知受影響的雲端租戶，包括 Framework 及表格工具 Tally
• 2026 年 8 月 7 日：事件公開
• 緊急修補：Metabase 為 1.58+ 版本推出修復。自行托管 1.58 至 1.63 版本的用戶同樣有風險，需要立即更新

Metabase 警告，除了客戶資料，這個漏洞還可能曝露已儲存的數據庫憑證、令牌、API 金鑰及其他敏感設定資料 。這意味著攻擊的影響範圍遠超 Framework 所披露的客戶資料——黑客可能從 Metabase 轉而攻擊其他連接的系統。

供應鏈攻擊：不止 Framework 中招

Framework 並非唯一受害的公司。隨著 Metabase 調查深入，至少五間公司公開確認被入侵 ：

• Framework（8 月 7 日）—— 客戶 PII 被盜
• Tally（8 月 7 日）—— 表格工具；客戶電郵及密碼雜湊被洩露
• n8n（8 月 8 日）—— 工作流程自動化平台
• Kilo Code / Anaconda（8 月 9 日）—— AI 編碼平台
• ChecklyHQ（8 月 10 日）—— 監控平台

這個模式顯示，Metabase 零日漏洞是被用來大規模攻擊多個雲端租戶，而非針對 Framework 的定向攻擊。

Framework 客戶應該點做？

根據 Framework 的官方通知及標準的事故應對指引，受影響客戶應：

1. 提防釣魚攻擊：黑客已取得你的姓名、電郵、電話及地址——這些都是進行高度針對性釣魚電郵、短訊甚至實體郵件詐騙的材料
2. 監察帳戶有無異常活動：登入 IP 地址已洩露；如果你在其他服務重複使用密碼，應考慮更改
3. 不要點擊任何有關今次事件的來歷不明電郵連結：黑客很可能冒充 Framework 或保安服務，引誘你提供更多資料或安裝惡意軟件
4. 只相信 Framework 官方渠道的通訊：公司表示正在檢討及改善數據儲存方法，並會透過官方渠道提供最新消息

Framework 發言人向 TechCrunch 表示公司「對這次資料洩漏深感抱歉」，並正在「檢討及改善」數據儲存方法 。

重點總結

• Framework 整個客戶數據庫因 Metabase 的供應鏈攻擊而洩漏，並非 Framework 自身系統被直接入侵
• 被盜資料包括個人資料（姓名、地址、電話、電郵），但不包括付款或訂單資料
• 攻擊者利用的是 CVE-2026-72898，一個 CVSS 10.0 的 Metabase 未經認證 SQL 注入漏洞（影響 1.58-1.63 版本）
• Framework 未有公開受影響客戶的確實數字，但已通知所有客戶
• 同一 Metabase 零日漏洞至少影響五間公司
• 所有使用受影響版本的自行托管 Metabase 用戶，應在 2026 年 8 月初立即安裝修補程式