CISA 将 Metabase、Cisco Secure Firewall、Windows WinSock 三漏洞纳入 KEV：联邦机构须 8/14 前修复，Metabase CVSS 10 已致数据库凭据大规模泄露

事件与背景

2026 年 8 月 11 日，美国 CISA 将三个已知被活跃利用的漏洞加入 Known Exploited Vulnerabilities（KEV）目录：CVE-2026-20349（Cisco Secure Firewall ASA/FTD）、CVE-2026-68820（Windows WinSock/afd.sys 驱动）、CVE-2026-72898（Metabase 未授权 SQL 注入）。按 KEV 规则，联邦民事行政分支机构须在 CISA 设定的期限内完成修复——本次为 8 月 14 日。

关键事实

TechTimes 8/12 报道，Metabase 漏洞已导致五家公司被入侵，攻击者可经 /reset_password 数据库端点读取全部连接的数据库凭据；该报道同时转述 CISA 指令将「AI 加速利用」列为驱动理由之一。

技术机制或行业解释

Metabase 的 CVE-2026-72898 属于认证绕过型 SQL 注入：攻击者不需要任何合法账号，仅通过公开的 /reset_password 端点即可触发未授权查询，进而获得管理员权限与所有已配置数据库连接的访问凭据。BI 工具的定位决定了其攻击价值——它天然聚合多个业务数据库的连接信息，是典型的高杠杆汇聚点。Cisco ASA/FTD 的堆检查漏洞与 Windows afd.sys 提权则分别覆盖网络边界与终端主机，三者合起来意味着从边界设备到终端再到数据层都有活跃利用路径。

影响与意义

对企业安全团队，KEV 收录把「厂商已确认在野利用」变成明确修复 SLA，8/14 期限对联邦机构是硬约束，对民间机构则是优先级排序依据。对 AI 基础设施，Metabase 攻击展示了数据分析管线的供应链放大效应：一个 BI 工具的零日可以横向波及所有下游数据库，安全投入需要从「保护模型本身」延伸到「保护数据汇聚工具链」。

风险与边界

Metabase 五家公司入侵细节来自 TechTimes 单源报道（8/12），尚未获 Metabase 官方或 CISA 逐条确认；「AI 加速利用」表述为 TechTimes 转述，属于信源说法而非 CISA 官方结论；KEV 修复期限 8/14 以 CISA 目录页面为准，不同漏洞的联邦截止日可能略有差异。

后续观察

关注 CISA KEV 是否继续收录 Metabase 供应链相关漏洞，以及 Metabase 官方补丁与受影响客户通知；跟踪攻击组织是否进一步利用泄露凭据；评估 BI/数据分析层成为 AI 时代第三方风险新焦点的行业趋势。