Metabaseの認証なしSQLインジェクションによる完全な管理者乗っ取り — CISA KEVに追加

CISAは2026年8月11日にCVE-2026-72898をKEVカタログに追加し、Metabaseの認証なしSQLインジェクションの野生での能動的な悪用を確認しました。

MetabaseはAIネイティブ製品ではなく一般的なBIツールですが、AIアプリケーションデータ上のMLパイプラインとダッシュボードを供給するデータ/分析レイヤーとして一般的に接続されています。確認された能動的な悪用と管理者レベルの侵害、およびCISA KEVステータスは、報告レイヤーとしてMetabaseを含むAIスタックを追跡する価値のある低ブラスト半径だが正確なカタログエントリとなります。

認証なしの遠隔攻撃者が/reset_passwordデータベースエンドポイント経由で任意のSQLを注入し、Metabaseインスタンスへの管理者アクセスを獲得し、そこから接続されたすべてのデータベースの認証情報を入手します。

Metabase（オンプレミスエディション、パッチが適用されたリリース前のバージョン）

ベンダーアドバイザリーに従ってパッチが適用されたMetabaseリリースにアップグレードしてください。CISA KEVに従い、連邦機関は2026年8月14日までに修復が必須です。