As três CVEs
Por volta de 11–13 de agosto de 2026, a CISA adicionou ao catálogo KEV:
- CVE-2026-72898 — injeção SQL sem autenticação no Metabase (versões 1.58+), usada como zero-day contra o Metabase Cloud;
- CVE-2026-68820 — use-after-free no driver WinSock (
afd.sys) do Windows, com possível elevação a SYSTEM; - CVE-2026-20349 — DoS sem autenticação no Cisco Secure Firewall ASA/FTD via HTTP no SSL VPN.
Metabase em detalhe
A falha no Metabase pode levar a acesso de administrador, roubo de credenciais e exfiltração de dados. A empresa informou ataques ao Metabase Cloud; instalações self-hosted precisam ser atualizadas de imediato. BI self-hosted costuma ficar exposto na internet com pouca proteção.
O que fazer
Atualize Metabase, aplique o patch de WinSock do Windows e atualize ASA/FTD conforme o aviso da Cisco. Trate qualquer painel de BI público como superfície crítica.