Metabase に認証なしの SQL インジェクション（CVE-2026-72898）: /reset_password から管理者権限、CVSS 10.0・EPSS 0.99、CISA KEV に追加済み

Metabase に、認証なしの攻撃者が /reset_password のデータベース処理へ SQL を注入し、Metabase の管理者権限を取得できる欠陥（CVE-2026-72898）が見つかりました。CVSS v3.1 は 10.0、悪用予測（EPSS）は 0.988 とほぼ最大で、CISA の KEV（悪用が確認された脆弱性）カタログに 2026-08-11 に追加されています。CISA は SSVC で悪用「あり」・自動化「可能」・技術的影響「全面的」と評価しています。

概要

項目	内容
問題	SQL インジェクション（CWE-89）。/reset_password のエンドポイントから任意の SQL を注入でき、管理者権限を取得される
攻撃条件	ネットワークから到達できれば認証不要・操作不要（AV:N/AC:L/PR:N/UI:N）
CVSS v3.1	10.0（S:C、機密性・完全性・可用性とも「高」）。評価は GitHub（CNA）
CVSS v4.0	10.0
EPSS	0.988（パーセンタイル 0.999、FIRST、2026-11-03）
CISA KEV	2026-08-11 追加。期限 2026-08-14。フォレンジック調査（Forensics Triage）を要求
NVD の状態	Analyzed

対象は Metabase のオープンソース版（0.x）と Enterprise 版（1.x）の次の系統です。NVD の構成情報では、各系統で下記の版より前が対象です。

系統	修正版（これ未満が影響）
0.58 / 1.58	0.58.24 / 1.58.24
0.59 / 1.59	0.59.21 / 1.59.21
0.60 / 1.60	0.60.17 / 1.60.17
0.61 / 1.61	0.61.11 / 1.61.11
0.62 / 1.62	0.62.9 / 1.62.9
0.63 / 1.63	0.63.5 / 1.63.5

なぜ重要か

Metabase は社内のデータベースやデータウェアハウスに接続して集計・可視化を行うツールで、接続先の認証情報や、集計対象の業務データが集まる場所です。管理者権限を認証なしで取られると、保存された接続情報、閲覧できるデータ、定義済みのクエリがまとめて危険にさらされ、接続先のデータベースへの足がかりにもなります。EPSS がほぼ最大であることは、悪用が広く観測されている、または極めて起きやすいと見られていることを示します。インターネットに公開された Metabase は、すでに悪用されたことを前提に調べる必要があります。

対策

• 利用中の Metabase の版を確認し、上表の修正版以降へ更新する（ベンダーのセキュリティ情報と GitHub のアドバイザリを参照）。
• 更新までの間、Metabase を VPN や社内ネットワークの内側に置き、インターネットから直接到達できないようにする。リバースプロキシで /reset_password へのアクセスを制限することも検討する（一般的な対策であり、ベンダー案内ではない）。
• KEV の期限はすでに過ぎている。更新の前に、不審な管理者アカウントの追加、パスワードリセット操作の記録、想定外のクエリ実行、接続先データベースへの異常なアクセスがないかを調べる。
• 侵害の疑いがあれば、Metabase に登録されたデータベース接続の認証情報、API キー、SMTP や SSO などの連携の資格情報を更新する。
• 公開が不要なら、外部公開しない構成にする。

数値と出典（2026-11-03 時点）

項目	内容
NVD	Analyzed。評価は GitHub（NVD 独自スコアなし）
CWE	CWE-89
EPSS	0.988（パーセンタイル 0.999、FIRST、2026-11-03）
KEV	2026-08-11 追加。期限 2026-08-14。ランサムウェアでの利用は未確認
出典	NVD、CISA KEV・CSAF、FIRST、Metabase セキュリティ情報、GitHub アドバイザリ

未確認の点

• 悪用の規模、攻撃者、実際の攻撃手順。KEV は悪用の確認を示すが、詳細は公開情報で確認できていない。
• Metabase Cloud（ホスト版）への影響と、ベンダー側での対応状況。
• 更新できない場合の公式な回避策（上記のアクセス制限は一般的な対策）。
• 上表以外の古い系統（0.58 より前）への影響。NVD の構成情報には含まれていない。