Metabase のSQLインジェクションの脆弱性（CVE-2026-72898）

何が起きた

データを集計・可視化するソフト Metabase に、データベースへの命令を紛れ込まされる弱点（SQL インジェクション）が見つかり、実際に悪用が確認されています。/reset_password という窓口から、ログインしていない攻撃者に、Metabase 自身のデータベースへ任意の SQL を送り込まれ、管理者の権限を取られるおそれがあります。そこから、設定を変えられたり、つないでいるデータベースのログイン情報を盗まれたり、データを読まれたり持ち出されたりするおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Metabase の 58 から 63 の系列で、修正版より前のバージョンを使っている組織が影響を受けます。58 より前の版は影響を受けません。

何をすればいい

使っている系列に合わせて、0.58.24、0.59.21、0.60.17、0.61.11、0.62.9、0.63.5 以降に更新してください。すぐに更新できない場合は、/api/session/reset_password への接続を一時的にふさぎます。この窓口が外から届く状態だった場合は、更新のあとで、ログイン中のセッションの無効化、API キーと管理者アカウントの見直し、つないでいるデータベースのログイン情報の取り替えをしましょう。また、メーカーは攻撃の手がかりとして、POST /api/session/reset_password が 400 を返したあとに GET /api/user/current が 200 を返す記録を挙げています。この並びがアプリやサーバーの入口の記録にあれば、侵害された可能性が高いとしています。データウェアハウスの記録と、Metabase の操作やクエリの履歴に不審な動きがないかも確かめましょう。

やることチェックリスト

• Metabaseを系列ごとの修正版以降にする
• すぐ更新できなければreset_passwordの窓口をふさぐ
• 記録に攻撃の手がかりの並びがないか確かめる

用語メモ

Metabase

データベースの中身を、グラフや表で見やすくまとめるためのソフトです。

SQL インジェクション 用語集で見る

入力欄などから不正なデータベースへの命令を紛れ込ませる攻撃のことです。