【緊急】Metabase CVE-2026-72898：即時修正版へ更新 — 管理者権限を奪取される恐れ

ビジネスインテリジェンス（BI）プラットフォーム「Metabase」に、深刻度10.0（Critical）の認証不要SQLインジェクションの脆弱性（CVE-2026-72898）が発見されました。この脆弱性は、すでに実際の攻撃で悪用されていることが確認されており、リモートの攻撃者が認証なしに管理者権限を奪取し、データベース内の機密情報を窃取したり、アプリケーションの設定を変更したりする可能性があります。CISAのKEV（Known Exploited Vulnerabilities）カタログにも追加され、本日8月14日までに修正が求められています。

今すぐ行う対策

• ✓公式情報で確認できる修正版へ更新する
• ✓更新までの公式回避策を適用する
• ✓侵害の兆候を確認する

脆弱性の概要と影響範囲

CVE-2026-72898は、Metabaseのパスワードリセット機能（/api/session/reset_passwordエンドポイント）に存在する、認証不要のSQLインジェクションの脆弱性です。攻撃者はこのエンドポイントを悪用し、Metabaseのアプリケーションデータベースに対して任意のSQLクエリを注入できます。これにより、認証なしにMetabaseインスタンスの管理者アクセス権を取得することが可能になります。 米国CISAは2026年8月11日にこの脆弱性をKEVカタログに追加しており、積極的に悪用されていることを警告しています。

具体的な影響・攻撃シナリオ

この脆弱性が悪用されると、攻撃者は以下のような広範な影響を及ぼす可能性があります。

• ✓Metabaseアプリケーションデータベースへの管理者アクセス権の取得
• ✓アプリケーション設定の変更
• ✓接続されているデータベースの保存済み認証情報の窃取
• ✓Metabaseを通じてアクセス可能なあらゆるデータの読み取りおよびエクスポート

runZero社の調査によると、インターネットに公開されているMetabaseの約11,000の自己ホスト型デプロイメントのうち、約4,309が脆弱なバージョンを実行している可能性があります。これには政府、医療、エネルギー、金融、通信、航空などの重要インフラセクターも含まれており、これらの組織はデータ漏洩やシステム乗っ取りの危険に晒されています。実際に、脆弱なバージョンの97%以上が未パッチの状態であるとされています。 この脆弱性は、認証を必要とせず、ユーザーの操作も不要、攻撃の複雑さも低いという点で、極めて深刻です。

対応手順と確認方法

自己ホスト型Metabaseを利用している場合は、以下の修正版への速やかなアップデートが必須です。Metabase Cloudユーザーはすでにパッチが適用済みです。

【影響を受けるバージョン】<br>・Metabase 0.58.0〜0.58.23 (Enterprise 1.58.0〜1.58.23)<br>・Metabase 0.59.0〜0.59.20 (Enterprise 1.59.0〜1.59.20)<br>・Metabase 0.60.0〜0.60.16 (Enterprise 1.60.0〜1.60.16)<br>・Metabase 0.61.0〜0.61.10 (Enterprise 1.61.0〜1.61.10)<br>・Metabase 0.62.0〜0.62.8 (Enterprise 1.62.0〜1.62.8)<br>・Metabase 0.63.0〜0.63.4 (Enterprise 1.63.0〜1.63.4)<br>※バージョン0.58/1.58未満は影響を受けません。

【修正版のバージョン】<br>・Metabase 0.58.24 / 1.58.24 以降<br>・Metabase 0.59.21 / 1.59.21 以降<br>・Metabase 0.60.17 / 1.60.17 以降<br>・Metabase 0.61.11 / 1.61.11 以降<br>・Metabase 0.62.9 / 1.62.9 以降<br>・Metabase 0.63.5 / 1.63.5 以降

アップデート後、以下の手順で侵害の兆候を確認し、対応を検討してください。

• ✓すべてのMetabaseユーザーセッションを無効化する：Metabaseアプリケーションデータベースにアクセスし、core_sessionテーブルのすべての行を削除します。
• ✓APIキーを確認し、認識できないキーを削除します。
• ✓管理者アカウントに不審な変更がないか確認します。
• ✓接続されているすべてのデータベースの認証情報を変更します。
• ✓データウェアハウスのログをレビューし、不正アクセスの兆候がないか確認します。
• ✓Metabaseのアクティビティおよびクエリ履歴に不審な点がないか確認します。

攻撃パターンとしては、POST /api/session/reset_password への400ステータスコードを伴う呼び出しの後に、GET /api/user/current への200ステータスコードの呼び出しが見られることが報告されています。 これらのログパターンがないか確認することも重要です。

参考ソース・公式パッチ情報