Introducción
El 3 de agosto de 2026, un atacante explotó una vulnerabilidad desconocida en Metabase Cloud. El vector de entrada fue el endpoint de restablecimiento de contraseña, comprometido mediante una inyección SQL que permitió escalar hasta privilegios de administrador. Desde esa posición, el atacante accedió a las credenciales almacenadas de cada base de datos conectada a la instancia y exportó su contenido. Tres días después, Framework Computers reveló que los datos personales de sus clientes —nombres, direcciones de correo electrónico, números de teléfono y direcciones postales— habían quedado expuestos. El fabricante desplegó un parche de emergencia en su oferta cloud. Las instancias self-hosted, en cambio, permanecen vulnerables mientras no se actualicen.
Cuando su herramienta de BI custodia las llaves del almacén de datos
Lo que sorprende de este incidente no es tanto la naturaleza de la vulnerabilidad como lo que revela sobre el rol real que ocupa Metabase en las arquitecturas de datos empresariales. Una plataforma de BI no es solo una herramienta de visualización: centraliza las conexiones a bases de datos operacionales, al data warehouse y, en ocasiones, a entornos de prueba alimentados con datos de producción. Almacena las credenciales de esas conexiones y las utiliza de forma continua para ejecutar consultas.
En este esquema, comprometer la capa de analytics basta para saltarse todas las medidas de seguridad implementadas directamente sobre las bases de datos. No fue la base la que se atacó primero. Fue la herramienta que se sitúa por encima de ella.
Un punto ciego en sus revisiones de acceso
Las cuentas de servicio creadas para plataformas de BI tienden a acumular permisos amplios —necesarios para que los equipos de datos puedan consultar libremente las fuentes. Con frecuencia disponen de acceso de lectura sobre esquemas completos, e incluso de permisos de escritura para ciertos usos. Sin embargo, estas cuentas rara vez pasan por las mismas revisiones que las cuentas DBA. Sus credenciales no siempre se incluyen en las políticas de rotación. Su actividad no siempre se remite al SIEM.
El incidente de Metabase pone rostro concreto a este punto ciego.
Acciones inmediatas para equipos self-hosted
Todas las instancias que funcionen en la versión 58 o superior están afectadas. Metabase distingue dos ediciones según el primer dígito del número de versión: Community Edition (prefijo 0.x) y Enterprise Edition (prefijo 1.x), existiendo cada rama correctiva en ambas variantes. Las versiones mínimas seguras disponibles son:
- Rama 58: 0.58.24 / 1.58.24
- Rama 59: 0.59.21 / 1.59.21
- Rama 60: 0.60.17 / 1.60.17
- Rama 61: 0.61.11 / 1.61.11
- Rama 62: 0.62.9 / 1.62.9
- Rama 63: 0.63.5 / 1.63.5
Si la actualización inmediata no es viable, bloquear el endpoint /api/session/reset_password a nivel del reverse proxy constituye una medida paliativa temporal. Adicionalmente, es necesario revocar las sesiones activas, cambiar las credenciales de las bases conectadas y auditar los registros de actividad para detectar posibles accesos no autorizados.
La pregunta de fondo: ¿qué saben realmente sus herramientas de analytics sobre sus datos?
Más allá del parche, este incidente invita a un ejercicio más fundamental. ¿Qué derechos de acceso tienen realmente sus plataformas de BI sobre sus sistemas de datos? ¿Operan con acceso de solo lectura y limitado a las tablas estrictamente necesarias, o pueden potencialmente exportar esquemas completos? ¿Las credenciales almacenadas están dentro del alcance de su política de gestión de secretos? ¿Los registros de estas herramientas están integrados en su monitorización de seguridad?
Una gobernanza de datos rigurosa no se detiene en la seguridad de las bases de datos en sí mismas. Abarca también las capas de aplicación que acceden a ellas: herramientas de analytics, pipelines de integración, APIs internas. Cada una representa una superficie de exposición, a menudo menos vigilada que los sistemas subyacentes.
Actualizar Metabase esta semana es necesario. Saber con precisión qué pueden hacer con sus datos todas sus herramientas de analytics lo es igualmente.