2026-08-14 · JPCERT/CC
MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）に関する注意喚起
注意喚起
Metabase が 2026 年 8 月 6 日（日本時間）に公表した SQL インジェクションの脆弱性。認証なしで細工したリクエストを送られると、アプリケーションデータベースに不正な SQL が実行され、管理者権限を取得される可能性がある。Metabase によると、本脆弱性を悪用したゼロデイ攻撃が確認されている。
- 対象: 58 系〜63 系の各系列で修正版より前のバージョン。Metabase Cloud は対策済み
- ゼロデイ攻撃が確認されており、海外では 2026-08-02 に悪用されていたとする情報がある
- 侵害の可能性を示す通信: POST /api/session/reset_password（400）の後に GET /api/user/current（200）
- 修正を含む最新バージョンの適用を推奨
- 関連する一連の攻撃
- 2026年夏から秋に相次いだ国内Web侵害
- 利用条件
- 引用の範囲で要約のみ。出典: JPCERTコーディネーションセンター（JPCERT/CC）「文書名」URL
出典
- s1
更新 2026-10-12