Actualizaciones de seguridad urgentes para la versión 12.4.2 de Grafana solucionan dos vulnerabilidades críticas que podrían permitir a los atacantes lograr la ejecución remota de código (RCE) y llevar a cabo ataques de denegación de servicio (DoS). Se recomienda encarecidamente a los administradores de sistemas que utilicen Grafana para la visualización de datos que apliquen estos parches retroportados de inmediato para evitar posibles compromisos del sistema.

Actualizaciones urgentes de seguridad para Grafana versión 12.4.2 solucionan dos vulnerabilidades críticas que podrían permitir a los atacantes lograr ejecución remota de código (RCE) completa y ejecutar ataques de denegación de servicio (DoS).

Los administradores de sistemas que utilizan Grafana para visualización de datos deben aplicar estos parches retroportados de inmediato para evitar posibles compromisos del sistema.

La vulnerabilidad más grave, identificada como CVE-2026-27876, tiene una puntuación CVSS crítica de 9.1 y se origina en la función de expresiones SQL de Grafana.

Esta falla permite a un atacante escribir archivos arbitrarios directamente en el sistema de archivos del servidor, lo que puede encadenarse con otros vectores para lograr ejecución remota de código completa.

Vulnerabilidad RCE en Expresiones SQL

Grafana Labs confirmó que esta ruta de explotación específica puede ser utilizada para obtener una conexión SSH no autorizada directamente al servidor host subyacente.

Para explotar con éxito el CVE-2026-27876, un atacante debe tener permisos de Viewer o superiores para ejecutar consultas en fuentes de datos, y el objetivo debe tener activado el toggle de la función sqlExpressions.

Una vez cumplidos estos estrictos requisitos previos, un atacante puede sobrescribir un controlador Sqlyze o manipular maliciosamente un archivo de configuración de una fuente de datos de AWS.

La vulnerabilidad fue revelada de manera responsable por Liad Eliyahu en Miggo Security, destacando la necesidad continua de auditorías de seguridad externas rigurosas.

Vulnerabilidad DoS sin autenticación

La segunda vulnerabilidad, CVE-2026-27880, es una falla de denegación de servicio (DoS) de alta gravedad con una puntuación CVSS de 7.5 que afecta a los endpoints de validación de OpenFeature.

Dado que estos endpoints no requieren autenticación y aceptan sin cuestionar entradas ilimitadas en la memoria, los actores de amenazas pueden saturar fácilmente el sistema.

Al enviar solicitudes excesivamente grandes, los atacantes pueden bloquear instantáneamente la instancia de Grafana y causar graves tiempos de inactividad operativa en los servicios de monitoreo.

Grafana Labs insta a todos los administradores a actualizar inmediatamente a una de las versiones parcheadas oficialmente, incluyendo Grafana 12.4.2, 12.3.6, 12.2.8, 12.1.10 y 11.6.14.

Las organizaciones que dependen de servicios en la nube gestionados pueden estar tranquilas, ya que los entornos de Amazon Managed Grafana y Azure Managed Grafana ya han sido asegurados bajo embargo.

Estas actualizaciones rápidas subrayan el compromiso de Grafana de mantener un ecosistema seguro para sus usuarios empresariales y de código abierto.

Para las organizaciones que no puedan actualizar de inmediato, desactivar por completo el toggle de la función sqlExpressions eliminará temporalmente la superficie de ataque de RCE.

Para defenderse activamente contra la vulnerabilidad DoS sin parchear, los administradores deben implementar Grafana en un entorno de alta disponibilidad para garantizar una recuperación automática rápida.

Además, implementar un proxy inverso robusto, como Nginx o Cloudflare, para limitar estrictamente el tamaño de las cargas útiles de entrada neutralizará eficazmente el vector de agotamiento de memoria.