Una vulnerabilidad de severidad máxima en la herramienta de BI de código abierto Metabase, registrada como CVE-2026-72898, permite que un atacante sin autenticación inyecte SQL a través del endpoint de restablecimiento de contraseña y se apodere de la instancia como administrador. Tiene una puntuación CVSS de 10.0, fue explotada como zero-day antes de que existiera un parche y CISA ya la ha añadido a su catálogo de vulnerabilidades explotadas conocidas. Si ejecutas Metabase, la única suposición segura es que las instancias expuestas a internet fueron sondeadas en el momento en que el exploit se hizo público: actualiza a una versión con parche o bloquea el endpoint hoy mismo.
No se trata de un fallo teórico. Metabase confirmó que la vulnerabilidad se usó en ataques reales, y al menos tres empresas —el fabricante de hardware Framework, el creador de formularios Tally y la plataforma de automatización de flujos de trabajo n8n— han revelado robos de datos de clientes vinculados a ella. Esto es lo que hace la vulnerabilidad, a quién ha afectado y los pasos exactos para cerrarla.
¿Qué es CVE-2026-72898?
CVE-2026-72898 es una inyección SQL sin autenticación en Metabase que conduce a la toma de control total como administrador. La debilidad reside en el endpoint /api/session/reset_password, accesible sin iniciar sesión. Según el aviso de seguridad de Metabase, «el atacante podía inyectar SQL arbitrario contra la base de datos de la aplicación Metabase, lo que puede darle acceso de administrador a la instancia». Como el endpoint no necesita credenciales, un atacante solo necesita acceso de red a una instancia vulnerable: sin contraseña robada, sin interacción del usuario.
Una vez dentro como administrador, el daño no se limita a la propia Metabase. Metabase es una capa de inteligencia de negocio que guarda conexiones almacenadas a tus bases de datos de producción y almacenes de datos. Un atacante con derechos de administrador puede cambiar la configuración de la aplicación, leer las credenciales de conexión almacenadas, consultar todo lo que esas conexiones puedan alcanzar y exportar los resultados. Por eso los investigadores de Horizon3.ai y otros han señalado que el radio de impacto es mucho mayor de lo que sugiere una simple herramienta de paneles: es un salto directo a cualquier dato que Metabase estuviera configurada para ver. La entrada de la NVD para CVE-2026-72898 la califica con 10.0, el máximo de la escala.
¿Qué versiones de Metabase están afectadas?
Todo a partir de la rama 1.58 en adelante fue vulnerable hasta los parches de agosto. Las versiones inferiores a 58 no están afectadas. Metabase publicó builds con parche el August 6, 2026, uno por cada rama compatible: actualiza a la versión correspondiente o posterior.
| Rama | Vulnerable | Versión con parche (OSS / Enterprise) |
|---|---|---|
| 63 | 0.63.0 – 0.63.4 | 0.63.5 / 1.63.5 |
| 62 | 0.62.0 – 0.62.8 | 0.62.9 / 1.62.9 |
| 61 | 0.61.0 – 0.61.10 | 0.61.11 / 1.61.11 |
| 60 | 0.60.0 – 0.60.16 | 0.60.17 / 1.60.17 |
| 59 | 0.59.0 – 0.59.20 | 0.59.21 / 1.59.21 |
| 58 | 0.58.0 – 0.58.23 | 0.58.24 / 1.58.24 |
| < 58 | No vulnerable | — |
Los builds de código abierto (0.x) y Enterprise (1.x) comparten los números de versión, así que 0.63.5 y 1.63.5 son la misma corrección en ediciones distintas. Si no puedes actualizar de inmediato, la solución alternativa documentada por Metabase es bloquear el endpoint /api/session/reset_password en tu proxy inverso o cortafuegos hasta que puedas aplicar el parche.
A quién ha afectado hasta ahora
Los ataques se produjeron en los primeros días de agosto de 2026, antes de que la mayoría de los operadores supieran que existía una vulnerabilidad: el sello de un verdadero zero-day. Desde entonces, varias empresas han dado la cara:
- Framework comunicó a sus clientes que los atacantes robaron datos personales, incluidos nombres completos, direcciones de correo electrónico, direcciones IP de inicio de sesión y direcciones de facturación y envío; los clientes empresariales también tuvieron expuestos los campos de VAT, EIN y correo de facturación. Framework afirmó que Metabase la notificó el August 6, con la intrusión fechada el August 3, según la información de BleepingComputer.
- Tally, el creador de formularios, reveló que los atacantes accedieron a las direcciones de correo electrónico de los usuarios y a los hashes de contraseñas (almacenados como hashes criptográficos unidireccionales), mientras que no se accedió al contenido de los formularios ni a los envíos.
- n8n, la plataforma de automatización de flujos de trabajo, afirmó que un atacante obtuvo 136 registros de clientes, según la información de The Hacker News.
El hilo común es que ninguno de estos casos fue culpa de Metabase por una mala configuración del producto: ejecutaban una versión compatible que resultó ser explotable y el endpoint de restablecimiento de contraseña era accesible.
Cómo saber si tu instancia fue comprometida
Aplicar el parche detiene la explotación futura; no deshace una brecha que ya ocurrió. Revisa primero tus registros en busca del patrón de explotación. El indicador público es una solicitud POST a /api/session/reset_password que devuelve HTTP 400, seguida poco después de un GET a /api/user/current que devuelve 200: la secuencia de una inyección que parece fallida pero que aun así generó una sesión de administrador. Runzero, Horizon3 y otros rastreadores han publicado guías de detección coincidentes para encontrar los activos afectados.
Si encuentras ese patrón, o simplemente no puedes descartarlo, la remediación posterior a la actualización de Metabase consiste en revocar todas las sesiones activas vaciando la tabla core_session, eliminar cualquier clave de API que no reconozcas, auditar las cuentas de administrador en busca de cambios inesperados, rotar las credenciales de cada base de datos conectada y revisar los registros de consultas de tu almacén de datos y de Metabase en busca de accesos no autorizados. Rotar las credenciales de las bases de datos posteriores es el paso que la gente se salta y el que más importa, porque esos secretos de conexión almacenados son exactamente lo que busca un atacante con nivel de administrador.
Por qué una herramienta de BI es el punto de pivote perfecto
La mayor parte de la cobertura de la brecha enmarca CVE-2026-72898 como «otra CVE crítica, aplica el parche». La lección más útil tiene que ver con dónde se ubica la herramienta. A las plataformas de analítica y BI se les concede acceso de lectura amplio y permanente a los datos más sensibles que tiene una organización —tablas de clientes, ingresos, datos personales— y con frecuencia se autoalojan, se exponen a internet para equipos remotos y luego se olvidan a la hora de aplicar parches. Esa combinación las convierte en un objetivo de mayor valor de lo que sugiere el marco del panel: compromete la capa de BI y heredas su visión de todo lo que hay detrás.
Las conclusiones defensivas van más allá de Metabase. Mantén las herramientas internas fuera de internet público siempre que puedas, colocándolas detrás de una VPN o un proxy de confianza cero en lugar de un puerto abierto sin más (la misma lógica de nuestra comparativa entre confianza cero y VPN). Trata cualquier aplicación autoalojada con acceso a bases de datos como parte de tu superficie de ataque y aplícale parches con la misma urgencia que a tu perímetro: la RCE previa a la autenticación en Kemp LoadMaster de principios de este año dejó el mismo mensaje. Y refuerza el propio host para que el compromiso de una sola aplicación no se convierta en la toma de control total del servidor, como explicamos en nuestra guía de la primera hora segura de un VPS.
Preguntas frecuentes
¿Qué es CVE-2026-72898?
Es una inyección SQL sin autenticación con CVSS 10.0 en el endpoint /api/session/reset_password de Metabase. Un atacante con acceso de red puede inyectar SQL y obtener acceso de administrador a la instancia sin credenciales, para luego leer los secretos de conexión de bases de datos almacenados y exfiltrar los datos conectados.
¿Qué versiones de Metabase necesitan parche?
Cualquier versión desde 1.58/0.58 hasta las correcciones de agosto. Actualiza a 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 o 0.63.5 (o el build Enterprise 1.x correspondiente) para tu rama. Las versiones inferiores a 58 no son vulnerables.
¿Se está explotando activamente CVE-2026-72898?
Sí. Metabase confirmó la explotación como zero-day, CISA la añadió a su catálogo de vulnerabilidades explotadas conocidas el August 11, 2026 con un plazo federal de remediación del August 14, y varias empresas han revelado robos de datos.
No puedo actualizar ahora mismo. ¿Qué puedo hacer?
Bloquea el endpoint /api/session/reset_password en tu proxy inverso o cortafuegos como mitigación temporal y luego aplica el parche cuanto antes. Esta es la solución alternativa recomendada por la propia Metabase.
¿Cómo sé si mi Metabase sufrió una brecha?
Busca un POST a /api/session/reset_password que devuelva HTTP 400 seguido de un GET a /api/user/current que devuelva 200. Si lo ves, revoca las sesiones, rota todas las credenciales de las bases de datos conectadas, elimina las claves de API desconocidas y audita las cuentas de administrador.
Fuentes
- Metabase — Actualización de seguridad (aviso oficial): versiones afectadas y corregidas, mitigación del endpoint y pasos de remediación posteriores a la actualización.
- NVD — CVE-2026-72898: el registro CVSS 10.0 y la descripción técnica.
- The Hacker News — Zero-day de Metabase explotado de forma activa: cronología de la explotación, indicadores de compromiso y la revelación de 136 registros de n8n.
- BleepingComputer — Framework y Tally revelan ataques de robo de datos en Metabase: qué datos se robaron a las víctimas nombradas y las fechas de divulgación.
- Horizon3.ai — Investigación de ataque sobre CVE-2026-72898: análisis de la inyección SQL y su impacto.
- Runzero — Encontrar activos de Metabase afectados: guía de detección e inventario de activos.
Waqas Ahmed Waseer
Waqas Ahmed Waseer es desarrollador y creador de automatizaciones con más de 8 años construyendo sistemas en producción que usan más de 100.000 personas. Crea SaaS multiinquilino a medida, automatización con IA (n8n, flujos LLM, bots de WhatsApp) e infraestructura de hosting (WHM/cPanel, CloudLinux), y es el creador de WaSphere, FlowMaticX y la marca de hosting WaseerHost. Más de 100 proyectos entregados para pymes, agencias y startups financiadas.
