Nota: La función subyacente existe en Grafana OSS, pero la cadena de explotación completa a menudo involucra componentes de plugins Enterprise. Se recomienda encarecidamente a todos los usuarios actualizar para prevenir futuros vectores de ataque.

⚡ Impacto

• Ejecución remota de código en el servidor/host de Grafana
• Posible compromiso total del sistema (robo de datos, persistencia, movimiento lateral)
• La cadena confirmada puede conducir a acceso SSH
• Afecta entornos de monitoreo/visualización con alto impacto empresarial

Requisitos previos para la explotación:

• El interruptor de función sqlExpressions debe estar habilitado
• El atacante necesita acceso para ejecutar consultas de fuentes de datos (rol de Visor o superior)

Vector de ataque: Red (AV:N)
Complejidad del ataque: Baja (AC:L)
Privilegios requeridos: Altos (PR:H)
Interacción del usuario: Ninguna (UI:N)
Alcance: Cambiado (S:C)
Confidencialidad/Integridad/Disponibilidad: Alta (C:H/I:H/A:H)

📌 Versiones afectadas

• Grafana v11.6.0 y posteriores (hasta las versiones parcheadas)
• Afecta específicamente a instancias con sqlExpressions habilitado

La participación de plugins Enterprise se ha señalado en varios informes para la cadena completa.

✅ Versiones corregidas

Actualice inmediatamente a una de las siguientes versiones parcheadas:

Los enlaces de descarga están disponibles en el sitio oficial de Grafana.

🛡️ Mitigación y soluciones alternativas

Recomendación principal

Actualice a una versión corregida lo antes posible.

Soluciones temporales (si la actualización se retrasa)

1. Deshabilite el interruptor de función sqlExpressions (la medida individual más efectiva)
2. Si usa Sqlyze: Actualice a v1.5.0+ o desactívelo
3. Deshabilite todas las fuentes de datos de AWS (si están presentes)

⚠️ Las soluciones alternativas pueden afectar la funcionalidad y no eliminan por completo el riesgo en todos los escenarios.

Prácticas recomendadas adicionales

• Audite y restrinja los permisos de los usuarios para la ejecución de consultas de fuentes de datos
• Revise y minimice los plugins instalados
• Supervise la actividad inusual de consultas o modificaciones de archivos en los directorios de Grafana
• Aplique segmentación de red y autenticación sólida

🕒 Cronología

• 2025-02-06: La función de expresiones SQL se reimplementó y se publicó en v11.6.0
• 2026-02-23: Incidente interno declarado; Grafana Cloud parcheado poco después
• 2026-03-09: Lanzamiento privado para clientes bajo embargo
• 2026-03-25/26: Divulgación pública y lanzamiento de seguridad
• 27 de marzo de 2026: Publicación del CVE

Descubierto por: Liad Eliyahu (director de investigación en Miggo Security) a través del programa de recompensas por errores de Grafana Labs. Se reconoce la divulgación responsable.

🔗 Referencias

• Blog oficial de la versión de seguridad de Grafana: https://grafana.com/blog/grafana-security-release-critical-and-high-severity-security-fixes-for-cve-2026-27876-and-cve-2026-27880/
• Página del CVE en Red Hat: https://access.redhat.com/security/cve/cve-2026-27876
• Detalle en NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-27876
• Relacionado: CVE-2026-27880 (DoS no autenticado mediante OpenFeature)

📢 Manténgase seguro

Actualice sus instancias de Grafana hoy mismo. Supervise los canales oficiales para cualquier aviso de seguimiento.