最近の脆弱性 › CVE-2026-72898
Metabase Metabase のSQLインジェクションの脆弱性（CVE-2026-72898）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2026-72898 |
|---|---|
| 製品 | Metabase Metabase |
| 深刻度（CVSS） | 10.0 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| KEVへの追加日 | 2026-08-11 |
| 米国政府機関の対応期限 | 2026-08-14 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-89 |
何が起きた
データを集計・可視化するソフト Metabase に、データベースへの命令を紛れ込まされる弱点（SQL インジェクション）が見つかり、実際に悪用が確認されています。/reset_password という窓口から、ログインしていない攻撃者に、Metabase 自身のデータベースへ任意の SQL を送り込まれ、管理者の権限を取られるおそれがあります。そこから、設定を変えられたり、つないでいるデータベースのログイン情報を盗まれたり、データを読まれたり持ち出されたりするおそれがあります。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Metabase の 58 から 63 の系列で、修正版より前のバージョンを使っている組織が影響を受けます。58 より前の版は影響を受けません。
何をすればいい
使っている系列に合わせて、0.58.24、0.59.21、0.60.17、0.61.11、0.62.9、0.63.5 以降に更新してください。すぐに更新できない場合は、/api/session/reset_password への接続を一時的にふさぎます。この窓口が外から届く状態だった場合は、更新のあとで、ログイン中のセッションの無効化、API キーと管理者アカウントの見直し、つないでいるデータベースのログイン情報の取り替えをしましょう。
やることチェックリスト
- Metabaseを系列ごとの修正版以降にする
- すぐ更新できなければ/api/session/reset_passwordをふさぐ
- APIキーと管理者とログイン情報を見直す
用語メモ
- Metabase
- データベースの中身を、グラフや表で見やすくまとめるためのソフトです。
- SQL インジェクション
- 入力欄などから不正なデータベースへの命令を紛れ込ませる攻撃のことです。
元データ（英語・CISA KEV より）
Metabase SQL Injection Vulnerability
概要
Metabase contains a SQL Injection vulnerability that allows an unauthenticated remote attacker to inject arbitrary SQL into the Metabase application database, which can give them administrator access to the instance. From there, the attacker could change the application configuration, steal stored credentials for the connected databases, read any data accessible through those connections, and export data.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.