修理・アップグレードが可能なノートパソコンを設計するサンフランシスコ拠点の企業Frameworkが、ビジネスインテリジェンスサービス「Metabase」のゼロデイ脆弱性を悪用され、データ侵害の被害に遭いました。
影響を受けたFrameworkの顧客に送られた通知によると、攻撃者は氏名、メールアドレス、電話番号、住所、ログインIPアドレスにアクセスしましたが、支払い情報や注文関連の記録は含まれていませんでした。
Frameworkが影響を受けた顧客に送ったメールによると、同社はMetabaseから侵害の通知を受け、攻撃者がFrameworkのクラウドインスタンスにアクセスしたことが確認されたとしています。
Frameworkは、Metabaseインスタンスに接続していたデータベースの認証情報をローテーションし、現時点ではより広範な侵害の証拠は見つかっていないとしています。
影響を受けた顧客は、同社になりすましたフィッシングメールに注意する必要があります。
他にも影響を受けた企業
オンラインフォーム作成プラットフォーム「Tally Forms」を提供するベルギー企業Tallyと、テキサス州拠点のAnacondaが現在所有するAIコーディングプラットフォームKilo Codeも、Metabase経由で攻撃者が顧客データにアクセスしたことをユーザーに通知しています。
Tallyのケースでは、メールアドレスとパスワードハッシュが対象データに含まれます。Kiloのケースでは、氏名、メールアドレス、顧客のSlackアクセストークンが該当します（後者については直ちに無効化されました）。
脆弱性はMetabase 58以降に影響
Metabaseは、中小企業が自社のビジネスデータを分析するために自社データベースに接続して利用するビジネスインテリジェンスツールです。組織は無償のオープンソース版をセルフホストすることも、クラウド版とセルフホスト版の両方が用意された有償サービスプランに加入することもできます。
2026年8月6日、同サービスを運営する企業は、CVE番号が未付与のゼロデイSQLインジェクション脆弱性を通じてMetabase Cloudが攻撃されたことを明らかにしました。
「これは、認証を経ていないリモート攻撃者がMetabaseアプリケーションデータベースに任意のSQLを注入できる致命的（CRITICAL）な脆弱性であり、インスタンスの管理者権限を攻撃者に与えかねません。これにより攻撃者は、アプリケーション設定を変更したり、接続先データベースの保存済み認証情報を窃取したり、それらの接続を通じてアクセス可能なあらゆるデータを読み取ったり、データをエクスポートしたりすることが可能になります」と同社はアドバイザリで述べています。
この脆弱性はMetabaseバージョン58以降に影響します。同社は影響を受けた各バージョンに対する修正パッチを公開し、Metabaseインスタンスをセルフホストしている顧客に対し、修正済みバージョンへのアップグレード、アクティブセッションの失効、APIキーおよび管理者アカウントの確認、認証情報のローテーション、不正アクセスの兆候がないかデータウェアハウスのログを確認すること、そして予期しない不審な活動がないかMetabaseのアクティビティやクエリ履歴を確認することを推奨しています。
「攻撃のパターンは次のようなものです。まずPOST /api/session/reset_passwordへの呼び出しがステータスコード400で発生し、続いてGET /api/user/currentへの呼び出しがステータスコード200で発生します」と同社は述べています。
「アプリケーションログやMetabaseサーバーのイングレスログでこのパターンが見つかった場合、そのインスタンスは侵害されている可能性が高いです。」
すぐにアップグレードできない顧客は、一時的に/api/session/reset_passwordエンドポイントをブロックすることが推奨されます。
翻訳元: https://www.helpnetsecurity.com/2026/08/10/metabase-zero-day-framework-tally-kilo-code/
