【監査更新】CVE-2026-72898は、Metabaseのパスワードリセット用エンドポイントにある認証不要のSQLインジェクションです。Metabase公式アドバイザリは実悪用を確認しており、自己ホスト環境は緊急対応が必要です。旧記事のRCEという表現は公式説明にないため削除しました。
影響と攻撃経路
攻撃者は認証なしでMetabaseアプリケーションデータベースへSQLを注入し、インスタンスの管理者権限を得る可能性があります。その後、設定変更、接続先データベースの保存済み資格情報の窃取、接続経由で読めるデータの閲覧・出力につながります。
⚠ CVE Score — 最高危険度 / CRITICAL
10CRITICALCVSS v3.1CVE-2026-72898
影響版と修正版
- ▸58系列: 58.0以上58.24未満 → 58.24以上
- ▸59系列: 59.0以上59.21未満 → 59.21以上
- ▸60系列: 60.0以上60.17未満 → 60.17以上
- ▸61系列: 61.0以上61.11未満 → 61.11以上
- ▸62系列: 62.0以上62.9未満 → 62.9以上
- ▸63系列: 63.0以上63.5未満 → 63.5以上
今すぐ行う対策
- ✓利用中のmajor系列に対応する修正版以上へ更新する
- ✓直ちに更新できない場合は一時的に /api/session/reset_password を遮断する
- ✓更新後にcore_sessionの全行を削除して既存セッションを無効化する
- ✓未知のAPIキーと管理者変更を確認し、接続先データベースの資格情報をローテーションする
- ✓Metabaseの活動・クエリ履歴とデータウェアハウスのログを調査する
クラウド版と自己ホスト版
Metabase Cloudはベンダー側で更新済みです。自己ホスト版は運用者が更新と侵害確認を行う必要があります。公開エンドポイントをWAFで塞ぐだけでは、既存の侵害や内部到達経路への対応にならないため、修正版への更新を優先します。
一次情報
📦Amazon で関連書籍・ツールを検索
データベース セキュリティ インシデント対応
Amazonで探す →（アソシエイトリンク）