---
title: "Metabase に認証なしの SQL インジェクション（CVE-2026-72898）: /reset_password から管理者権限、CVSS 10.0・EPSS 0.99、CISA KEV に追加済み"
url: https://n-t-p.io/worldsecurity/articles/metabase-cve-2026-72898-kev-unauth-sqli-reset-password
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月3日
updated: 2026年11月3日
severity: 緊急
cve: CVE-2026-72898
---

# Metabase に認証なしの SQL インジェクション（CVE-2026-72898）: /reset_password から管理者権限、CVSS 10.0・EPSS 0.99、CISA KEV に追加済み

> **TL;DR:** Metabase に、認証なしで /reset_password から SQL を注入し管理者権限を取れる欠陥（CVE-2026-72898、CVSS 10.0、EPSS 0.988）。CISA KEV に 2026-08-11 追加済み。0.63.5 などの修正版へ更新し、侵害の有無を調べる。

**要点**
- 認証なしで /reset_password に SQL を注入し、管理者権限を取得できる（CWE-89、CVSS v3.1 10.0）
- CISA KEV に 2026-08-11 追加（期限 08-14）。EPSS は 0.988（パーセンタイル 0.999）
- 対象は 0.58〜0.63 系・Enterprise 1.58〜1.63 系。修正版は 0.58.24／0.59.21／0.60.17／0.61.11／0.62.9／0.63.5（1.x も同番号）
- 更新と公開範囲の制限、管理者追加や接続情報の確認が必要。悪用の規模と Cloud への影響は未確認

Metabase に、認証なしの攻撃者が /reset_password のデータベース処理へ SQL を注入し、Metabase の管理者権限を取得できる欠陥（CVE-2026-72898）が見つかりました。CVSS v3.1 は 10.0、悪用予測（EPSS）は 0.988 とほぼ最大で、CISA の KEV（悪用が確認された脆弱性）カタログに 2026-08-11 に追加されています。CISA は SSVC で悪用「あり」・自動化「可能」・技術的影響「全面的」と評価しています。

## 概要

| 項目 | 内容 |
|---|---|
| 問題 | SQL インジェクション（CWE-89）。/reset_password のエンドポイントから任意の SQL を注入でき、管理者権限を取得される |
| 攻撃条件 | ネットワークから到達できれば認証不要・操作不要（AV:N/AC:L/PR:N/UI:N） |
| CVSS v3.1 | 10.0（S:C、機密性・完全性・可用性とも「高」）。評価は GitHub（CNA） |
| CVSS v4.0 | 10.0 |
| EPSS | 0.988（パーセンタイル 0.999、FIRST、2026-11-03） |
| CISA KEV | 2026-08-11 追加。期限 2026-08-14。フォレンジック調査（Forensics Triage）を要求 |
| NVD の状態 | Analyzed |

対象は Metabase のオープンソース版（0.x）と Enterprise 版（1.x）の次の系統です。NVD の構成情報では、各系統で下記の版より前が対象です。

| 系統 | 修正版（これ未満が影響） |
|---|---|
| 0.58 / 1.58 | 0.58.24 / 1.58.24 |
| 0.59 / 1.59 | 0.59.21 / 1.59.21 |
| 0.60 / 1.60 | 0.60.17 / 1.60.17 |
| 0.61 / 1.61 | 0.61.11 / 1.61.11 |
| 0.62 / 1.62 | 0.62.9 / 1.62.9 |
| 0.63 / 1.63 | 0.63.5 / 1.63.5 |

## なぜ重要か

Metabase は社内のデータベースやデータウェアハウスに接続して集計・可視化を行うツールで、接続先の認証情報や、集計対象の業務データが集まる場所です。管理者権限を認証なしで取られると、保存された接続情報、閲覧できるデータ、定義済みのクエリがまとめて危険にさらされ、接続先のデータベースへの足がかりにもなります。EPSS がほぼ最大であることは、悪用が広く観測されている、または極めて起きやすいと見られていることを示します。インターネットに公開された Metabase は、すでに悪用されたことを前提に調べる必要があります。

## 対策

- 利用中の Metabase の版を確認し、上表の修正版以降へ更新する（ベンダーのセキュリティ情報と GitHub のアドバイザリを参照）。
- 更新までの間、Metabase を VPN や社内ネットワークの内側に置き、インターネットから直接到達できないようにする。リバースプロキシで /reset_password へのアクセスを制限することも検討する（一般的な対策であり、ベンダー案内ではない）。
- KEV の期限はすでに過ぎている。更新の前に、不審な管理者アカウントの追加、パスワードリセット操作の記録、想定外のクエリ実行、接続先データベースへの異常なアクセスがないかを調べる。
- 侵害の疑いがあれば、Metabase に登録されたデータベース接続の認証情報、API キー、SMTP や SSO などの連携の資格情報を更新する。
- 公開が不要なら、外部公開しない構成にする。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD | Analyzed。評価は GitHub（NVD 独自スコアなし） |
| CWE | CWE-89 |
| EPSS | 0.988（パーセンタイル 0.999、FIRST、2026-11-03） |
| KEV | 2026-08-11 追加。期限 2026-08-14。ランサムウェアでの利用は未確認 |
| 出典 | NVD、CISA KEV・CSAF、FIRST、Metabase セキュリティ情報、GitHub アドバイザリ |

## 未確認の点

- 悪用の規模、攻撃者、実際の攻撃手順。KEV は悪用の確認を示すが、詳細は公開情報で確認できていない。
- Metabase Cloud（ホスト版）への影響と、ベンダー側での対応状況。
- 更新できない場合の公式な回避策（上記のアクセス制限は一般的な対策）。
- 上表以外の古い系統（0.58 より前）への影響。NVD の構成情報には含まれていない。


## 出典
- [NVD CVE-2026-72898](https://nvd.nist.gov/vuln/detail/CVE-2026-72898) — NIST NVD
- [Metabase security update](https://www.metabase.com/blog/security-update) — Metabase
- [GitHub Advisory GHSA-vwf4-m7j8-wcjf](https://github.com/metabase/metabase/security/advisories/GHSA-vwf4-m7j8-wcjf) — Metabase
- [CISA CSAF VA-26-222-01](https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/IT/white/2026/va-26-222-01.json) — CISA
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-72898) — CISA
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-72898) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/metabase-cve-2026-72898-kev-unauth-sqli-reset-password