Framework 資料外洩事件全解析：發生了什麼？哪些資料被盜？你該怎麼做？

2026 年 8 月 6 日，以模組化、可維修筆記型電腦聞名的 Framework Computer 公司，開始向每一位客戶寄發一封令人沮喪的電子郵件：你的個人資料已被竊取。這起資料外洩事件並非源自 Framework 本身的系統，而是追溯到其上游分析供應商 Metabase。攻擊者利用 Metabase 一個先前未知且風險評分達到最高等級的漏洞，竊取了大量資料。以下是 Framework 公布的完整事件細節、被竊取的資料內容、攻擊手法，以及客戶該如何因應。

哪些個人資料被竊？

Framework 證實，攻擊者存取其整個客戶資料庫，竊取了廣泛的個人身分識別資訊（PII）。洩漏的資料包括：

• 全名
• 電子郵件地址
• 電話號碼
• 實體／運送地址
• 登入 IP 位址

對於企業客戶而言，外洩的資訊還可能包含公司名稱、職稱和公司電話號碼。

哪些資料是安全的？

Framework 明確表示，付款與訂單資訊並未被存取。信用卡號碼、金融帳戶詳細資料和購買歷史紀錄均未受到影響。這點非常重要——雖然這次外洩事件確實嚴重，讓客戶暴露於釣魚攻擊和社交工程詐騙的風險中，但財務相關資料目前仍是安全的。

有多少客戶受到影響？

Framework 表示已通知「所有客戶」，這意味著其整個客戶資料庫都遭到入侵。然而，Framework 並未公開受影響的確切人數。該公司發言人 Eric Schumacher 告訴 TechCrunch，此次外洩影響了「所有客戶」，但拒絕提供具體數字。有報導根據 Framework 已知的社群規模，粗略估計約有 18,000 名客戶 受影響，但這並非官方數字，且可能被嚴重低估。

上游供應商：Metabase

Framework 將此次外洩事件完全歸咎於 Metabase，這是一個開源的商業智慧（BI）平台，Framework 使用它來存放分析資料。這是一起典型的供應鏈攻擊——Framework 自己的系統並未被直接入侵，而是其信賴的第三方供應商出了問題。

漏洞詳情：CVE-2026-72898

攻擊者利用的是 Metabase 軟體中一個嚴重的、無需身分驗證的 SQL 注入零時差漏洞。主要特徵如下：

• CVSS 評分：10.0（最高嚴重性）——這是最高的風險評級
• CVE 編號：CVE-2026-72898
• 受影響版本：Metabase 1.58 至 1.63 版本
• 攻擊方式：此漏洞允許遠端攻擊者透過 /reset_password 端點，在 Metabase 應用程式資料庫中注入任意 SQL 語法，無需任何憑證即可取得完整管理員權限
• 影響範圍：一旦攻擊者取得管理員權限，就能竊取儲存在資料庫中的憑證以及任何可存取的資料，當然也包括客戶個資

Metabase 的公開發布

Metabase 在 2026 年 8 月 6 日 發布事件說明，透露其 Metabase Cloud SaaS 平台 正是透過這個先前未知的漏洞遭到入侵。關鍵時間點與細節如下：

• 2026 年 8 月 3 日：攻擊事件發生——比修補程式發布早了三天
• 2026 年 8 月 6 日：Metabase 通知受影響的雲端租戶，包括 Framework 和表單服務商 Tally
• 2026 年 8 月 7 日：事件公開披露
• 緊急修補程式：Metabase 為 1.58 以上版本發布了修復。自行架設的用戶若使用 1.58 至 1.63 版本同樣存在風險，需立即更新

Metabase 警告，除了客戶資料外，此漏洞還可能導致受影響實例中的資料庫憑證、代碼、API 金鑰及其他敏感配置資料外洩。這意味著受災範圍遠比 Framework 所通報的客戶資料更廣——攻擊者有可能從 Metabase 轉向攻擊其他相連的系統。

供應鏈攻擊脈絡：一場更大規模的攻擊行動

Framework 並非唯一受害者。隨著 Metabase 調查的展開，至少還有其他四家公司公開證實遭到入侵：

• Framework（8 月 7 日）——客戶個資遭竊
• Tally（8 月 7 日）——表單平台；客戶電子郵件地址與密碼雜湊值外洩
• n8n（8 月 8 日）——工作流程自動化平台
• Kilo Code／Anaconda（8 月 9 日）——AI 程式碼平台
• ChecklyHQ（8 月 10 日）——監控平台

此模式顯示，Metabase 的零時差漏洞是作為通用攻擊手段，被用來攻擊多個雲端租戶，而非專門針對 Framework 的鎖定式攻擊。

Framework 客戶該怎麼做？

Framework 的官方通知中包含給客戶的指引。根據被竊取的資料類型以及標準的資料外洩應對措施，受影響的客戶應：

1. 提防釣魚攻擊：攻擊者現在掌握了姓名、電子郵件、電話號碼和實體地址——這些都是發動高度針對性釣魚郵件、詐騙簡訊甚至實體郵件詐騙的完美素材。
2. 監控帳戶可疑活動：由於登入 IP 位址已經外洩，如果你在其他服務上重複使用了相同的密碼，應立即更改。
3. 不要點擊任何不請自來、聲稱與此事件有關的連結：攻擊者很可能會假冒 Framework 或安全服務機構，試圖誘騙受害者洩露更多資訊或安裝惡意軟體。
4. 只相信 Framework 官方管道的資訊：該公司表示正在「審查並改進其資料儲存方法」，並將透過官方管道提供後續更新。

Framework 的發言人告訴 TechCrunch，該公司對此表示「深感歉意」，並正在「審查和改進」其資料儲存方式。

重點整理

• Framework 的整個客戶資料庫因 Metabase 的供應鏈攻擊而遭到入侵，而非 Framework 自身基礎設施被攻破。
• 被竊取的資料包含個人身分識別資訊（姓名、地址、電話、電子郵件），但不包含付款或訂單資訊。
• 攻擊者所使用的漏洞編號為 CVE-2026-72898，這是一個存在於 Metabase 1.58-1.63 版本中、CVSS 評分為 10.0 的無身分驗證 SQL 注入漏洞。
• Framework 未公布確切的客戶人數，但已通知所有客戶。
• 至少有五家公司因同一波 Metabase 零時差漏洞攻擊而受害。
• 所有使用受影響版本的自行架設 Metabase 用戶，理應已在 2026 年 8 月初完成修補更新。