Metabase CVE-2026-72898：実悪用中のSQLインジェクションを修正

【監査更新】CVE-2026-72898は、Metabaseのパスワードリセット用エンドポイントにある認証不要のSQLインジェクションです。Metabase公式アドバイザリは実悪用を確認しており、自己ホスト環境は緊急対応が必要です。旧記事のRCEという表現は公式説明にないため削除しました。

影響と攻撃経路

攻撃者は認証なしでMetabaseアプリケーションデータベースへSQLを注入し、インスタンスの管理者権限を得る可能性があります。その後、設定変更、接続先データベースの保存済み資格情報の窃取、接続経由で読めるデータの閲覧・出力につながります。

影響版と修正版

• ▸58系列: 58.0以上58.24未満 → 58.24以上
• ▸59系列: 59.0以上59.21未満 → 59.21以上
• ▸60系列: 60.0以上60.17未満 → 60.17以上
• ▸61系列: 61.0以上61.11未満 → 61.11以上
• ▸62系列: 62.0以上62.9未満 → 62.9以上
• ▸63系列: 63.0以上63.5未満 → 63.5以上

今すぐ行う対策

• ✓利用中のmajor系列に対応する修正版以上へ更新する
• ✓直ちに更新できない場合は一時的に /api/session/reset_password を遮断する
• ✓更新後にcore_sessionの全行を削除して既存セッションを無効化する
• ✓未知のAPIキーと管理者変更を確認し、接続先データベースの資格情報をローテーションする
• ✓Metabaseの活動・クエリ履歴とデータウェアハウスのログを調査する

クラウド版と自己ホスト版

Metabase Cloudはベンダー側で更新済みです。自己ホスト版は運用者が更新と侵害確認を行う必要があります。公開エンドポイントをWAFで塞ぐだけでは、既存の侵害や内部到達経路への対応にならないため、修正版への更新を優先します。

一次情報