Zero-day no Metabase expõe clientes de toda a base

Este incidente tem vítima em dois níveis distintos: o Metabase (plataforma SaaS de BI) foi o ponto de entrada; seus clientes — empresas que usam o Metabase para analytics — foram os alvos cujos dados foram exfiltrados. A confusão entre os dois níveis é o principal risco de comunicação equivocada.

A falha, sem CVE atribuído até 8 de agosto, recebeu CVSS 10.0 no advisory do próprio Metabase no GitHub (GHSA-vwf4-m7j8-wcjf). O mecanismo: um endpoint de reset de senha (/api/session/reset_password) acessível sem autenticação permitia injeção de SQL arbitrário contra o banco de aplicação do Metabase, escalando diretamente para acesso de administrador da instância. A partir daí, o atacante podia alterar configurações, extrair credenciais de bancos de dados conectados e exportar dados.

O que o Metabase admite: ataque confirmado em 3 de agosto; cloud e self-hosted afetados (versões 1.58 a 1.63); endpoints bloqueados; patch lançado em 6 de agosto; autoridades notificadas; firma forense contratada. O que o Metabase NÃO divulgou: número total de instâncias comprometidas, identidade do atacante, duração da janela de exploração antes da detecção interna.

Framework (fabricante de notebooks modulares) confirmou que todos os seus clientes foram afetados, sem precisar o número exato. A empresa declarou ao TechCrunch que o incidente atingiu 'all customers', mas recusou fornecer cifra. Estimativas de mercado apontam para centenas de milhares de dispositivos vendidos desde o lançamento — o que dá ordem de grandeza para a base, mas não é contagem confirmada de registros expostos. Os dados expostos na instância da Framework incluem: nome completo, e-mail, telefone, endereço de entrega e faturamento, IP de login, e para clientes empresariais, CNPJ/EIN/VAT. Pagamentos e pedidos não estavam na instância.

Tally (construtor de formulários) confirmou exposição de e-mails e hashes de senha de usuários em sua instância Metabase. Os formulários e respostas submetidas ficaram intactos por estarem em banco separado — distinção relevante que a cobertura geral não enfatizou. Ambas as empresas (Framework e Tally) foram notificadas pelo Metabase no mesmo dia (6 de agosto), o que sugere processo de notificação centralizado e relativamente organizado.

Contexto de reincidência: em 2023, o Metabase corrigiu CVE-2023-38646 (CVSS 9.8), falha de RCE pré-autenticada que recebeu ampla atenção e exploração ativa. Em 2026, antes deste incidente, a plataforma acumulou ao menos três vulnerabilidades críticas documentadas (fevereiro, abril e o atual agosto). O padrão aponta para uma superfície de ataque estruturalmente ampla: o Metabase armazena credenciais de bancos de dados dos clientes, o que o torna um alvo de alto valor — uma falha abre todos os bancos conectados.

Nenhum grupo ou ator reivindicou o ataque. Não há dados publicados em fóruns criminais conhecidos até a data deste relatório. O incidente não segue o padrão típico de ransomware ou extorsão; a ausência de reivindicação pode indicar espionagem, reconhecimento silencioso ou monetização futura ainda não visível.

Framework confirmou exposição de toda a sua base de clientes (número exato não divulgado, estimativas de mercado sugerem centenas de milhares de registros), com dados de contato completos — nome, e-mail, telefone, endereços de entrega e faturamento, IP de login. Para clientes empresariais da Framework, também há risco de exposição de dados fiscais (VAT, EIN). Tally confirmou exposição de e-mails e hashes de senha de usuários de sua plataforma de formulários. O risco imediato para os usuários finais é phishing e engenharia social direcionados, dada a riqueza de dados de contato expostos. Credenciais de hash da Tally podem ser objeto de ataques de força bruta off-line. O impacto para clientes self-hosted que não aplicaram os patches ainda é indeterminado e pode crescer.