Metabaseに存在する深刻なSQLインジェクションの脆弱性（CVE-2026-72898として追跡）により、認証を経ていないリモート攻撃者が脆弱なインスタンスを侵害し、管理者レベルの制御権を obtain（取得）できることが明らかになりました。
CWE-89に分類されるこの脆弱性は、アプリケーション自体のデータベース層に影響を及ぼし、接続先のデータソースや保存済みの認証情報、機密性の高いビジネスインテリジェンス記録が露出する経路を生み出します。
この問題は2026年8月11日、CISAの既知の悪用された脆弱性（KEV）カタログに追加され、対応期限は8月14日とされています。Metabaseを運用している組織、特にインターネットに公開された環境では、この脆弱性を直ちにパッチ適用すべき対象として扱う必要があります。
CVE-2026-72898の悪用に、攻撃者は有効なMetabaseの認証情報を必要としません。リモートの攻撃者は、Metabaseのアプリケーションデータベースに任意のSQL文を注入し、データを改ざんしたりアプリケーションの状態を操作したりできる可能性があります。
単一のバックエンドクエリからの情報抽出にとどまる一般的なSQLインジェクションの脆弱性とは異なり、今回の脆弱性はMetabase自体を支えるデータベースに影響を与えます。
この違いにより、潜在的な被害の規模は大幅に拡大します。アプリケーションデータベースには、ユーザーアカウント、権限設定、構成値、セッション関連の記録、暗号化または保存された接続情報、そして接続先のデータ環境を記述するメタデータが含まれている可能性があるためです。
これらの記録を操作できる攻撃者は、アカウントを新規に作成したり、既存アカウントの権限を管理者権限へと昇格させたりできます。そこから先、侵入者はもはや最初の注入経路に縛られることはありません。
Metabaseインスタンスに対する管理者権限を握られると、広範なデータ露出につながる恐れがあります。攻撃者はアプリケーションの構成を変更し、接続先データベースの保存済み認証情報にアクセスし、それらの接続を通じて取得可能な情報をクエリし、結果をエクスポートすることが可能です。
Metabaseを一元的な分析基盤として利用している組織にとって、この単一のWebアプリケーションの侵害は、複数の業務システムへのアクセスにつながりかねません。
接続先のデータソースには、本番データベース、データウェアハウス、クラウド分析サービス、顧客データセット、財務報告プラットフォーム、社内の業務用リポジトリなどが含まれる可能性があります。
その先への影響の度合いは、Metabaseに設定されたデータベース接続の内容と、それらの認証情報に割り当てられた権限次第です。
高い権限を持つサービスアカウントに接続されているインスタンスは、最もリスクが高いといえます。侵害されたMetabaseの管理者権限を通じて、Metabase自体が直接保有しているデータをはるかに超える範囲のデータへのアクセスが許可されてしまう可能性があるためです。
CISAは現時点で、ランサムウェアによる悪用の有無を「不明」としています。ただし、ランサムウェア活動が確認されていないからといって、リスクが低いと解釈すべきではありません。認証不要での悪用、管理者権限の乗っ取り、認証情報の窃取は、いずれも恐喝行為に一般的に結び付く要素です。
組織はMetabaseの指示に従ってベンダー提供の緩和策を適用し、その修復措置がすべてのデプロイメントにわたって有効であることを検証する必要があります。
セキュリティチームは、自己ホスト型のクラウド環境や、リバースプロキシまたはシングルサインオンゲートウェイを通じて到達可能なシステムを含め、外部に公開されているインスタンスを優先的に対応すべきです。
連邦民間機関は、CISAの拘束的運用指令（Binding Operational Directive）26-04のガイダンスおよび関連するフォレンジック・トリアージ要件に従う必要があります。
それ以外の組織も、8月14日という期限を緊急性の強い指標として受け止めるべきです。脆弱なMetabase環境は、遅滞なくパッチを適用するか、隔離するか、あるいはサービスから切り離す必要があります。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に把握し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/cisa-warns-of-actively-exploited-metabase-flaw/
