Qué hacer
esta semana 6 de septiembre de 2026
critica · chile

ANCI confirma explotación activa de inyección SQL en Metabase

ANCI alertó explotación activa de una vulnerabilidad crítica de inyección SQL no autenticada en Metabase, que permite crear o modificar cuentas administrativas, robar credenciales y exfiltrar datos.

Esta semana — prioridad 1

Actualizar Metabase a la versión estable más reciente publicada en el changelog oficial esfuerzo bajo · attack M1051 · cis 7.1 · iso27001 A.8.8
Restringir el acceso a la instancia de Metabase a redes internas o VPN, eliminando exposición directa a internet esfuerzo medio · attack M1030 · cis 4.4 · iso27001 A.8.22
Rotar las credenciales de todas las bases de datos configuradas como fuente de datos en Metabase esfuerzo medio · attack M1027 · cis 5.3 · iso27001 A.8.24

Este mes — prioridad 2

Habilitar MFA en todas las cuentas administrativas de Metabase esfuerzo bajo · attack M1032 · cis 6.5 · iso27001 A.8.5
Desplegar regla de WAF que detecte o bloquee la secuencia de endpoints reportada por ANCI esfuerzo medio · attack M1031 · cis 13.10 · iso27001 A.8.23

Indicadores a bloquear

Tipo	Indicador
patron_http	POST /api/session/reset_password (HTTP 400) seguido de GET /api/user/current (HTTP 200), mismo origen

Qué necesitas tener logueado

Logs de acceso del servidor web o proxy inverso que expone Metabase (nginx, ALB, etc.)
Logs de aplicación de Metabase
Logs de WAF, si existe uno delante de la instancia

Las reglas de detección de este análisis están listas para descargar en https://www.vantis.cl/noticias/anci-confirma-explotacion-activa-inyeccion-sql-metabase/reglas.txt — incluyen la versión Sigma canónica y las traducciones a los motores que apliquen.