Nota: O recurso subjacente existe no Grafana OSS, mas a cadeia completa de exploração geralmente envolve componentes de plugins Enterprise. Todos os usuários são fortemente aconselhados a atualizar para prevenir futuros vetores de ataque.

⚡ Impacto

• Execução Remota de Código no servidor/host do Grafana
• Comprometimento total do sistema possível (roubo de dados, persistência, movimento lateral)
• Cadeia confirmada pode levar ao acesso SSH
• Afeta ambientes de monitoramento/visualização com alto impacto para os negócios

Pré-requisitos para Exploração:

• O feature toggle sqlExpressions deve estar habilitado
• O atacante precisa de acesso para executar consultas em fontes de dados (função Viewer ou superior)

Vetor de Ataque: Rede (AV:N)
Complexidade do Ataque: Baixa (AC:L)
Privilégios Necessários: Altos (PR:H)
Interação do Usuário: Nenhuma (UI:N)
Escopo: Alterado (S:C)
Confidencialidade/Integridade/Disponibilidade: Alta (C:H/I:H/A:H)

📌 Versões Afetadas

• Grafana v11.6.0 e posteriores (até as versões corrigidas)
• Impacta especificamente instâncias com sqlExpressions habilitado

O envolvimento de plugins Enterprise foi observado em vários relatórios para a cadeia completa.

✅ Versões Corrigidas

Atualize imediatamente para uma das seguintes versões corrigidas:

Links de download disponíveis no site oficial do Grafana.

🛡️ Mitigação e Soluções Alternativas

Recomendação Principal

Atualize para uma versão corrigida o mais rápido possível.

Soluções Alternativas Temporárias (se a atualização for adiada)

1. Desabilite o feature toggle sqlExpressions (etapa única mais eficaz)
2. Se estiver usando Sqlyze: atualize para v1.5.0+ ou desabilite-o
3. Desabilite todas as fontes de dados AWS (se presentes)

⚠️ As soluções alternativas podem impactar a funcionalidade e não eliminam totalmente o risco em todos os cenários.

Práticas Recomendadas Adicionais

• Audite e restrinja as permissões dos usuários para execução de consultas em fontes de dados
• Revise e minimize os plugins instalados
• Monitore atividades incomuns de consultas ou modificações de arquivos nos diretórios do Grafana
• Aplique segmentação de rede e autenticação forte

🕒 Linha do Tempo

• 2025-02-06: Recurso SQL Expressions reimplementado e lançado na v11.6.0
• 2026-02-23: Incidente interno declarado; Grafana Cloud corrigido logo em seguida
• 2026-03-09: Divulgação privada para clientes sob embargo
• 2026-03-25/26: Divulgação pública e lançamento de segurança
• 27 de março de 2026: CVE publicado

Descoberto por: Liad Eliyahu (Chefe de Pesquisa na Miggo Security) por meio do programa de bug bounty do Grafana Labs. Divulgação responsável reconhecida.

🔗 Referências

• Blog oficial de lançamento de segurança do Grafana: https://grafana.com/blog/grafana-security-release-critical-and-high-severity-security-fixes-for-cve-2026-27876-and-cve-2026-27880/
• Página da CVE na Red Hat: https://access.redhat.com/security/cve/cve-2026-27876
• Detalhes no NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-27876
• Relacionada: CVE-2026-27880 (DoS não autenticado via OpenFeature)

📢 Mantenha-se Seguro

Atualize suas instâncias do Grafana hoje. Monitore os canais oficiais para quaisquer comunicados posteriores.