---

📋 概述

CVE ID：CVE-2026-27876
严重性：严重（CVSS v3.1：9.1）
发布时间：2026 年 3 月 27 日
CWE：CWE-94（代码生成控制不当 / 代码注入）

Grafana 的 SQL 表达式（SQL Expressions） 功能（在 v11.6.0 中以类 MySQL 语法引入/重新实现）允许用户使用熟悉的 SQL 转换查询数据。然而，该功能无意中允许了对文件系统的任意文件写入。当与特定组件（包括 Grafana Enterprise 插件）链式利用时，可导致远程任意代码执行（RCE）。

拥有足够权限的攻击者可以覆盖关键文件（例如 Sqlyze 驱动程序或 AWS 数据源配置），从而可能获得通往 Grafana 主机的 SSH 连接。

注意：底层功能存在于 Grafana OSS 中，但完整的利用链通常涉及 Enterprise 插件组件。强烈建议所有用户进行更新，以防止未来的攻击向量。

---

⚡ 影响

• 在 Grafana 服务器/主机上实现远程代码执行
• 可能导致整个系统沦陷（数据窃取、持久化、横向移动）
• 已确认的利用链可导致 SSH 访问
• 影响具有高业务影响的监控/可视化环境

利用前提条件：

• 必须启用 sqlExpressions 功能开关
• 攻击者需要具备执行数据源查询的权限（查看者角色或更高）

攻击向量：网络（AV:N）
攻击复杂度：低（AC:L）
所需权限：高（PR:H）
用户交互：无（UI:N）
影响范围：已改变（S:C）
机密性/完整性/可用性：高（C:H/I:H/A:H）

---

📌 受影响版本

• Grafana v11.6.0 及更高版本（直至已发布修复的版本）
• 特别影响启用了 sqlExpressions 的实例

多份报告指出，完整利用链涉及 Enterprise 插件。

---

✅ 已修复版本

立即升级到以下已修复版本之一：

官方 Grafana 网站提供下载链接。

---

🛡️ 缓解措施与临时方案

主要建议

尽快升级到已修复版本。

临时缓解措施（如果升级延迟）

1. 禁用 sqlExpressions 功能开关（最有效的单一措施）
2. 如果使用 Sqlyze：更新到 v1.5.0+ 或将其禁用
3. 禁用所有 AWS 数据源（如存在）

⚠️ 缓解措施可能会影响功能，并且在所有场景下都不能完全消除风险。

其他最佳实践

• 审计并限制用户执行数据源查询的权限
• 审查并尽量减少已安装的插件
• 监控 Grafana 目录中是否存在异常的查询活动或文件修改
• 实施网络分段和强身份验证

---

🕒 时间线

• 2025-02-06：SQL Expressions 功能在 v11.6.0 中重新实现并发布
• 2026-02-23：宣布内部事件；Grafana Cloud 随后不久完成修补
• 2026-03-09：向受保密协议约束的客户私下发布
• 2026-03-25/26：公开披露并发布安全更新
• 2026 年 3 月 27 日：CVE 发布

发现者：Liad Eliyahu（Miggo Security 研究主管）通过 Grafana Labs 的漏洞赏金计划发现。已确认其负责任披露。

---

🔗 参考链接

• Grafana 官方安全发布博客：https://grafana.com/blog/grafana-security-release-critical-and-high-severity-security-fixes-for-cve-2026-27876-and-cve-2026-27880/
• Red Hat CVE 页面：https://access.redhat.com/security/cve/cve-2026-27876
• NVD 详情：https://nvd.nist.gov/vuln/detail/CVE-2026-27876
• 相关：CVE-2026-27880（通过 OpenFeature 的未认证 DoS）

---

📢 保持安全

立即更新您的 Grafana 实例。关注官方渠道以获取任何后续安全通告。