Metabase CVE-2026-72898: la inyección SQL con CVSS 10.0 que comprometió múltiples entornos de producción
El seis de agosto de 2026, Metabase —una de las plataformas de inteligencia de negocio de código abierto más desplegadas del mundo— publicó la divulgación de una vulnerabilidad de inyección SQL que se ha confirmado como uno de los eventos de zero-day más relevantes del año. Registrada como CVE-2026-72898, la falla alcanza la puntuación máxima posible en CVSS: 10.0. En los días posteriores a la divulgación pública, varias empresas tecnológicas de primer nivel confirmaron haber sido comprometidas a través de la vulnerabilidad, y el incidente ha expuesto una categoría de riesgo que va mucho más allá de la lista de víctimas conocidas: cualquier organización que ejecute una versión OEM de Metabase dentro de un producto mayor podría no saber siquiera que está expuesta.
Este artículo recorre qué ocurrió, quién se vio afectado, cómo funciona la explotación a nivel técnico y qué debe hacer ahora mismo cualquier equipo de DevSecOps para detectar y contener la exposición en sus propios entornos.
La vulnerabilidad en lenguaje claro
CVE-2026-72898 es una falla de inyección SQL en el servidor de BI de Metabase, presente en las versiones 1.58 y posteriores. Según el aviso del fabricante y la cobertura posterior de CSO Online, el bug permite a un atacante remoto no autenticado saltar las fronteras normales de la aplicación y emitir consultas arbitrarias contra la base de datos subyacente. El resultado es lo que los respondedores de incidentes llaman acceso "a la base de datos en crudo, sin mitigación" —no una lectura restringida de vistas preaprobadas, sino la capacidad de leer tablas, volcar credenciales y pivotar hacia las fuentes de datos conectadas.
"No se ve un 10/10 perfecto en CVSS con frecuencia, pero cuando aparece, hay que preocuparse", señaló David Shipley, CEO de Beauceron Security, en comentarios a CSO Online. La preocupación de Shipley está bien justificada. La inyección SQL es una clase de vulnerabilidad conocida desde hace más de dos décadas, y una puntuación CVSS de 10.0 sobre una falla de inyección SQL implica que la explotación no requiere autenticación, no requiere interacción del usuario y produce compromiso total de la confidencialidad, integridad y disponibilidad del componente afectado.
La falla es particularmente peligrosa porque Metabase es, por diseño, un sistema que se sitúa cerca de los data warehouses más sensibles de una organización. Una plataforma de BI existe precisamente para traducir preguntas de negocio en SQL. Cuando esa misma plataforma puede ser forzada a ejecutar SQL controlado por el atacante contra la base de datos que guarda las respuestas, las consecuencias son inmediatas y severas.
Quiénes han confirmado compromiso
En la semana posterior a la divulgación, varias organizaciones reconocidas confirmaron públicamente haber sido impactadas por la explotación de CVE-2026-72898. La lista, según CSO Online, incluye:
- **Kilo Code**, un proveedor de tooling de desarrollo recientemente adquirido por Anaconda. - **Tally**, una empresa respaldada por Y Combinator que construye agentes contables autónomos. - **Framework**, el fabricante de computadores personales conocido por sus laptops modulares. - **n8n**, la plataforma de automatización de flujos de trabajo con una gran comunidad open source. - **ChecklyHQ**, un proveedor de plataforma de testing y monitoreo para IA.
Las compañías afectadas reportan que los actores de amenaza accedieron a registros que contenían nombres de usuario, direcciones de correo, contraseñas cloud, hashes criptográficos de claves API de OpenTelemetry (OTel) usadas para recolección de trazas, tokens de acceso de Slack y otra información sensible. Cada organización ha declarado públicamente que está contactando directamente a los clientes impactados y que ha tomado acciones de mitigación, incluyendo la rotación de credenciales y claves API potencialmente afectadas, el reseteo de todas las contraseñas de usuario, la invalidación de todos los tokens de autenticación de Slackbot para los usuarios impactados, la eliminación de cuentas de administrador comprometidas y la revisión de logs de auditoría internos.
El comunicado público de Checkly lo enmarca con claridad: "La vulnerabilidad estaba en el producto de un proveedor, pero proteger tus datos es nuestro trabajo, y este incidente puso algunos en riesgo". Esa frase captura la lección central: los zero-days de proveedores son un riesgo operacional que cualquier cliente debe planificar, incluso cuando el producto subyacente es confiable y de uso extendido.
El riesgo OEM: productos que no sabías que usaban Metabase
Una de las advertencias más importantes que han salido de este incidente se refiere al embebido por fabricantes OEM. Muchos productos comerciales integran Metabase bajo el capó para proporcionar dashboards internos, analítica de uso o reportería de auditoría. Cuando Metabase se embebe de esta manera, el cliente del producto mayor a menudo ni siquiera sabe que está ejecutando Metabase.
Observadores de la industria han advertido que los usuarios afectados podrían no saber siquiera que están afectados, porque no son conscientes de que Metabase forma parte del producto que compraron. Esto significa que la lista de víctimas confirmadas está casi con certeza incompleta. Cualquier equipo de DevSecOps que use un producto SaaS con analítica embebida, dashboards internos o reportería lista para usar debería preguntar a sus proveedores, por escrito, si su producto embebe Metabase y si ha sido actualizado a una versión no vulnerable.
Cómo funciona la explotación
Metabase incorpora un editor de SQL y una capa de ejecución de consultas que traduce preguntas de la interfaz de usuario en consultas a la base de datos. La vulnerabilidad está en la forma en que ciertos parámetros de consulta se construyen y se pasan al motor de base de datos subyacente. Aunque Metabase no ha publicado un análisis técnico completo, el patrón de comportamiento observado en la respuesta a incidentes y la existencia de código de exploit funcional indican que un atacante puede construir peticiones que la aplicación interpreta como instrucciones legítimas pero que la base de datos procesa como SQL crudo.
La explotación no requiere credenciales válidas. No requiere interacción del usuario. El atacante solo necesita alcanzabilidad de red al servicio de Metabase. En despliegues cloud donde Metabase está expuesto a internet pública —una configuración que sigue siendo común en organizaciones pequeñas— eso significa que la barrera de entrada es esencialmente cero. En despliegues on premise, el riesgo se traslada a exposición de red interna, movimiento lateral desde hosts comprometidos y cualquier mala configuración de VPN o zero-trust que permita a un atacante alcanzar servicios internos.
El código de exploit funcional ya está disponible públicamente, lo cual reduce drásticamente la barrera para atacantes oportunistas. El escaneo de instancias vulnerables de Metabase comenzó casi inmediatamente tras la divulgación, y los equipos de threat intelligence han reportado sondeos generalizados contra puertos y rutas comunes asociadas a despliegues de Metabase.
Detección: qué buscar ahora mismo
Si operas una instancia de Metabase, deberías estar cazando indicadores de compromiso de inmediato. Las señales específicas que conviene investigar incluyen:
- Patrones inusuales de consulta a la base de datos que referencien tablas de sistema, tablas de credenciales o tablas fuera del workload habitual de BI. - Conexiones a la base de datos de Metabase desde direcciones IP que no coincidan con la actividad normal de aplicación o administración. - Tráfico saliente desde el host de Metabase hacia destinos que no coincidan con el comportamiento típico de cliente de base de datos, en particular DNS over HTTPS y canales cifrados de C2. - Cambios en cuentas de administrador de Metabase, hashes de contraseñas o secretos de sesión en la base de datos de la aplicación. - Conexiones desde Metabase hacia data warehouses que la aplicación no está configurada para usar. - Nuevos tokens OAuth, claves API o tokens de acceso personal emitidos por servicios conectados poco antes o poco después de la ventana de divulgación.
Las fuentes de log que más importan aquí son el log de auditoría de la base de datos de la aplicación, los logs propios de aplicación del servidor Metabase, los logs de egress de red del host o subred donde corre Metabase, y cualquier log del proveedor de identidad para los servicios SaaS a los que Metabase estaba conectado.
Si no puedes producir una línea de tiempo limpia de quién accedió a tu instancia de Metabase entre la divulgación del seis de agosto y el momento en que parchaste, deberías asumir que es necesaria la rotación de credenciales y tokens en cada servicio downstream al que Metabase estaba autorizado a autenticarse.
Mitigación y remediación
El fabricante ha publicado una versión parcheada que cierra la vulnerabilidad. El primer punto de acción es identificar cada instancia de Metabase en tu entorno, incluyendo despliegues OEM, y confirmar que ejecuta una versión no afectada.
Más allá del parche, el checklist operacional inmediato debería incluir:
1. **Rotar todas las credenciales y tokens almacenados en Metabase o accesibles a través de él.** Esto incluye contraseñas de base de datos, refresh tokens OAuth, claves API y cualquier token de acceso personal emitido a usuarios a través de los servicios conectados. 2. **Resetear todas las contraseñas de usuario de Metabase** y forzar invalidación de sesión en todo el despliegue. 3. **Invalidar tokens de Slack, GitHub, Google Workspace y cualquier otro servicio de terceros** que Metabase estuviera autorizado a usar. Si tu organización usa Slack, cada token de Slack emitido a través de Metabase debe considerarse comprometido. 4. **Revisar cuentas de administrador** en busca de cuentas que hayan sido creadas, modificadas o promovidas a roles elevados después de la ventana de divulgación sin un ticket de cambio correspondiente. 5. **Auditar logs de servicios downstream** en busca de actividad inusual originada desde la cuenta de servicio de Metabase o desde credenciales almacenadas en Metabase. 6. **Restringir la exposición de red** de forma que Metabase deje de ser alcanzable desde internet pública salvo que sea estrictamente necesario. Cuando la exposición a internet sea inevitable, pon Metabase detrás de una VPN, un broker de zero-trust network access o, como mínimo, un proxy reverso autenticado.
La lección mayor: las plataformas de BI son tier zero
Un tema recurrente en la literatura de respuesta a incidentes es que los sistemas con acceso privilegiado a datos son activos tier zero en el modelo de seguridad, independientemente de cómo los clasifique la organización en su inventario de activos. Metabase, Looker, Tableau, Superset, Power BI y herramientas similares están todas en un camino privilegiado hacia los datos más sensibles de una organización. Mantienen credenciales hacia data warehouses, pueden leer filas en crudo y pueden usarse para emitir consultas que abarcan toda la superficie de datos.
La mayoría de las organizaciones no tratan su plataforma de BI con la misma disciplina operacional que aplican a una base de datos productiva o a un proveedor de identidad. Este incidente es un argumento fuerte para cambiar eso. Los pasos prácticos que se derivan de este cambio de mentalidad incluyen:
- MFA obligatorio en toda cuenta administrativa de la plataforma de BI. - Acceso just in time para operaciones administrativas de BI, con grabación de sesión y workflows de aprobación. - Cuentas de servicio de solo lectura allí donde el workload de BI no requiera acceso de escritura. - Segmentación de red que ubique las plataformas de BI en una subred dedicada con controles de egress estrictamente acotados. - Una entrada en el runbook de respuesta a incidentes específicamente para compromiso de plataforma de BI, que detalle qué credenciales rotar y en qué orden.
Cómo hablar con los directivos sobre esto
Los consejos y equipos ejecutivos están legítimamente preocupados por el riesgo de concentración de proveedores y la seguridad de la cadena de suministro. CVE-2026-72898 es un caso de estudio útil porque es concreto, reciente e involucra a empresas que el equipo directivo probablemente conoce. El encuadre debería ser directo: una vulnerabilidad con la máxima puntuación de severidad posible fue divulgada en un producto que usamos, hay código de exploit funcional público y varias empresas tecnológicas conocidas ya han confirmado compromiso. La pregunta para el equipo ejecutivo no es si los zero-days de proveedores volverán a ocurrir —ocurrirán— sino si nuestra capacidad de detección y respuesta es lo bastante buena para atrapar un compromiso en horas en lugar de semanas.
Reflexión final
CVE-2026-72898 no es un ataque sofisticado. Es una clase de vulnerabilidad conocida en un producto ampliamente desplegado, weaponizada en cuestión de días tras la divulgación. La lección no es nueva. Lo que sí es nuevo es la escala del impacto y la velocidad con la que se materializó. Los equipos de DevSecOps que tratan su plataforma de BI como un activo tier zero, que mantienen un inventario actualizado de cada instancia embebida de cada producto de BI que usan, y que tienen un playbook ensayado para rotación de credenciales y tokens, sobrevivirán este incidente y el próximo. Los equipos que no, seguirán aprendiendo la misma lección por las malas.
El aviso completo del fabricante, incluyendo versiones parcheadas y notas de migración, es la fuente de verdad para cualquier trabajo de remediación. Este artículo pretende aportar el contexto técnico y operacional que tu equipo necesita para actuar sobre ese aviso con velocidad y confianza.