CVE-2026-27876: Execução remota de código no Grafana via sqlExpressions
A CVE-2026-27876 é uma falha crítica de injeção de código (CWE-94) no Grafana que o fornecedor descreve como uma cadeia envolvendo SQL Expressions e um plugin do Grafana Enterprise, capaz de levar à execução remota de código. Apenas instâncias com a feature toggle sqlExpressions habilitada são afetadas, em faixas de versões específicas com correções indicadas no registro. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-27876 é uma falha crítica de execução remota de código no Grafana, classificada como CWE-94 (Injeção de Código). Segundo a descrição do fornecedor, uma cadeia de ataque que usa SQL Expressions e um plugin do Grafana Enterprise pode levar à execução arbitrária de código. O aviso do fornecedor está disponível em aviso de segurança do Grafana.
Impacto
- O registro atribui pontuação base CVSS de 9.1 (crítica), com alto impacto na confidencialidade, integridade e disponibilidade, além de escopo alterado, segundo o vetor informado.
- Os dados SSVC do registro classificam o impacto técnico como total.
- Uma exploração bem-sucedida permitiria a execução arbitrária de código no servidor afetado. As consequências práticas dependem da implantação e não são detalhadas nas fontes.
Produtos e versões afetados
As fontes listam o Grafana como afetado apenas nas faixas abaixo, e somente quando a feature toggle sqlExpressions está habilitada:
- De 11.6.0 até 11.6.14 (corrigido em 11.6.14). As versões 11.5 e anteriores não são afetadas.
- De 12.0.0 até 12.1.10 (corrigido em 12.1.10). A versão 12.0 não recebeu atualização por estar em fim de vida.
- De 12.2.0 até 12.2.8 (corrigido em 12.2.8).
- De 12.3.0 até 12.3.6 (corrigido em 12.3.6).
- De 12.4.0 até 12.4.2 (corrigido em 12.4.2). A partir de 13.0.0 a correção está incluída, e o registro informa que nenhuma release da série subsequente é afetada.
O campo estruturado de correções do registro está vazio, por isso as versões corrigidas acima foram extraídas do texto da descrição.
Status de exploração
O registro não mostra inclusão no catálogo KEV da CISA. O valor de exploração no SSVC é none e a automatização é no. A probabilidade EPSS é 0.01384, com percentil de 0.7199. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize o Grafana para a release corrigida da sua linha: 11.6.14, 12.1.10, 12.2.8, 12.3.6 ou 12.4.2, ou migre para 13.0.0 ou superior.
- Quando a atualização imediata não for possível, verifique se a feature toggle sqlExpressions está habilitada. Desabilitá-la é uma medida provisória razoável se as suas cargas de trabalho permitirem, já que a descrição indica que apenas instâncias com essa opção são vulneráveis. Confirme essa abordagem com as orientações do fornecedor.
- Planeje a atualização de linhas em fim de vida, pois a versão 12.0 não recebeu correção.
Detecção
- Faça um inventário das versões do Grafana em todos os ambientes e registre se a feature toggle sqlExpressions está habilitada.
- Revise logs e configurações em busca de alterações inesperadas em plugins do Grafana e de uso incomum de SQL Expressions, em nível geral. As fontes não descrevem indicadores de comprometimento específicos.
Limitações das informações disponíveis
- O registro não identifica o plugin Enterprise envolvido e não descreve toda a cadeia de etapas.
- Os privilégios necessários são indicados apenas pelo vetor CVSS, e as condições de exposição de rede não são detalhadas.
- Não há indicadores de comprometimento, cronograma de exploração nem detalhes de exploração confirmados pelo fornecedor no registro.
Perguntas frequentes
Quais instâncias do Grafana são afetadas pela CVE-2026-27876?
Segundo o registro, apenas instâncias com a feature toggle sqlExpressions habilitada são vulneráveis, e somente dentro das faixas listadas, de 11.6.0 até 11.6.14, de 12.0.0 até 12.1.10, de 12.2.0 até 12.2.8, de 12.3.0 até 12.3.6 e de 12.4.0 até 12.4.2.
Quais versões contêm a correção?
A descrição indica 11.6.14, 12.1.10, 12.2.8, 12.3.6 e 12.4.2 como releases corrigidas de suas linhas, e informa que 13.0.0 e superior incluem a correção. O campo estruturado de correções do registro está vazio.
Esta vulnerabilidade está sendo explorada ativamente?
O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O valor de exploração no SSVC é none.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.