速報
CVE-2026-72898 — Metabaseの認証なしSQLインジェクションで管理者権限（解説と対応策）
CVE-2026-72898は、BI/分析ツール Metabase のパスワード再設定エンドポイントに存在する認証なしのSQLインジェクション（CWE-89）です。CVSSは10.0、CISA KEV掲載＝実際に悪用中。管理者権限を取られると接続先データベースの認証情報まで到達するため、更新だけでは対応が完了しません。修正バージョン、暫定回避、そして更新後に必須の作業（セッション失効・接続先DBの認証情報ローテーション）を防御目線で解説します。
実際に悪用が確認されている脆弱性（CISA KEV掲載）の速報解説です。何が起きるのか・影響範囲・対応策を、攻撃の再現手順は伏せて防御目線でまとめます。
- CVE
- CVE-2026-72898
- 重大度
- Critical（CVSS 10.0 / v3.1・v4.0 とも）
- 種別
- 認証なしSQLインジェクション（CWE-89）
- 影響
- Metabase インスタンスの管理者権限の取得／接続先DBの認証情報とデータへの到達
- 対象
- Metabase セルフホスト（x.58 系以降で、下記の修正版より前）
- 悪用状況
- CISA KEV 掲載（2026年8月11日追加・是正期限 8月14日）。ベンダーは0-dayとして悪用されていたと公表
- 本命の対応
- 各系列の修正版へ更新 ＋ 更新後のセッション失効と接続先DB認証情報のローテーション
放置の危険度
認証不要で管理者権限まで到達するため、無差別スキャンの格好の標的です（だからこそ公開翌日にKEV入りしています）。ベンダーは自社のクラウド環境に対して修正前に実際に悪用されていたと公表しており、「まだ狙われていない」という前提は置けません。
どんな脆弱性か
Metabase は、社内のデータベースに接続してダッシュボードやクエリを提供する BI／分析ツールです。今回の欠陥は、パスワード再設定を処理するエンドポイントが、外部から渡された値をSQLの一部として組み立ててしまう点にあります。認証を経る前の処理なので、攻撃者はログインすら必要としません（SQLインジェクション＝CWE-89）。
注入先は Metabase 自身のアプリケーションデータベースです。ここには利用者・セッション・APIキー・接続設定といった、インスタンスの支配権に直結する情報が入っています。CISA は KEV の記載で、攻撃者は管理者権限の取得後に設定変更・接続先データベースの認証情報の窃取・それらの接続を通じたデータの閲覧とエクスポートまで行い得る、としています。
認証なしの攻撃者
↓ パスワード再設定エンドポイントへSQLを注入
Metabase のアプリケーションDB → 管理者権限
↓ 保存された接続設定・認証情報へ
接続先の各データベース
売上・顧客・ログ… BIが読める範囲すべて
影響範囲
| 項目 | 内容 |
|---|---|
| 対象 | Metabase（セルフホスト）。ベンダーは Metabase Cloud は既に修正済みと公表 |
| 影響を受けるバージョン | x.58 系以降で、下記の修正版より前のもの |
| 修正バージョン | 0.58.24 / 0.59.21 / 0.60.17 / 0.61.11 / 0.62.9 / 0.63.5（Enterprise は 1.58.24 / 1.59.21 / 1.60.17 / 1.61.11 / 1.62.9 / 1.63.5） |
| 前提条件 | 認証不要（unauthenticated） |
| 到達できる影響 | 管理者権限の取得 → 接続先DBの認証情報とデータ |
| 暫定回避 | /api/session/reset_password エンドポイントのブロック（時間稼ぎ） |
対応策
修正版へ更新する（最優先・本命）
すぐ更新できないなら、エンドポイントを塞ぐ
/api/session/reset_password のブロック。リバースプロキシやWAFで到達を止める。あくまで更新までの時間稼ぎとして扱う。全セッションを失効させ、APIキーと管理者を点検する
core_session テーブルを全削除して全セッションを失効させること、見覚えのないAPIキーの削除、管理者アカウントに不審な変更がないかの点検を挙げている。管理者を取られていた場合、更新だけでは攻撃者の足場が残る。接続先データベースの認証情報をローテーションする（省略しない）
到達可能性そのものを減らす
検知の手がかり（ベンダー公表）
ベンダーは、悪用時のアクセスパターンとして /api/session/reset_password への呼び出しが 400 を返した直後に /api/user/current が 200 を返すという並びを挙げています。アクセスログが残っているなら、この並びの有無を確認する価値があります。ログが無い場合は「無かった」ではなく「分からない」——その場合は侵害された前提で上の手順4まで実施してください。
当サイトの視点：BIツールは“データの出口”であり“鍵束”である
社内でBI／分析ツールを導入するとき、多くの組織はそれを「見るためのツール」として扱い、データベース本体より一段低い重要度で運用します。しかし実態は逆で、接続先すべての認証情報を1か所に集めた鍵束です。守るべき重要度は接続先のうち最も重要なデータベースと同じ——それが当サイトの立場です。だから、BIツールにこそ最小権限の接続ユーザー（読み取り専用・必要なスキーマのみ）を割り当て、インターネットに直接晒さず、認証情報のローテーション手順を平時に用意しておく。この設計をしておくと、今回のような「認証前のコードに穴」という最悪のケースでも、失うものを接続先1つ分に抑えられます。
出典
- NVD — CVE-2026-72898（CWE-89／CVSS v3.1・v4.0 とも 10.0）
- CISA KEV — Known Exploited Vulnerabilities Catalog（2026年8月11日追加・是正期限 2026年8月14日）
- ベンダー公式 — GHSA-vwf4-m7j8-wcjf ／ Metabase security update
次に読む
- 用語：SQLインジェクションとは ／ CVSSとは
- 実務：脆弱性対応の実務（見つけてから塞ぐまで） ／ 資産棚卸しチェックリスト
よくある質問
QCVE-2026-72898で何が起きる？
認証なしのリモート攻撃者が、Metabase のパスワード再設定エンドポイント経由で任意のSQLを注入し、Metabase インスタンスの管理者権限を取得できます。CISAの記載によれば、そこから設定変更、接続先データベースの認証情報の窃取、それらの接続を通じて参照できるデータの閲覧・エクスポートまで到達し得ます。
Q一番確実な対応は？
使用中の系列に対応する修正バージョン（0.58.24 / 0.59.21 / 0.60.17 / 0.61.11 / 0.62.9 / 0.63.5、および 1.x のEnterprise相当）へ更新することです。すぐ更新できない場合の暫定回避としてベンダーは `/api/session/reset_password` エンドポイントのブロックを挙げていますが、これは時間稼ぎです。
Q更新すれば対応は完了ですか？
いいえ。ベンダーは更新後の作業として、アプリケーションDBの `core_session` テーブルを全削除して全セッションを失効させること、見覚えのないAPIキーの削除、管理者アカウントの点検、そして接続先データベースの認証情報のローテーションを挙げています。管理者権限を取られていた場合、接続先DBの認証情報も奪われている前提で扱う必要があるためです。
QMetabase Cloud を使っている場合は？
ベンダーは、Metabase Cloud のインスタンスは既に更新・修正済みだと公表しています。危険なのは自前で運用している（セルフホストの）インスタンスです。