Metabase CVE-2026-72898のゼロデイ悪用を確認 — CVSS 10.0・認証不要のSQLインジェクション、CISA KEV追加でJPCERT/CCが注意喚起

オープンソースのビジネスインテリジェンス(Business Intelligence:BI)ツール「Metabase」に存在するSQLインジェクションの脆弱性CVE-2026-72898について、JPCERT/CCが2026年8月14日に注意喚起を公開しました。

CVE-2026-72898は、遠隔の第三者が認証なしでMetabaseのアプリケーションデータベースへ任意のSQLを注入できる脆弱性です。悪用に成功するとMetabaseの管理者権限取得につながり、アプリケーション設定の変更、接続先データベースに保存された認証情報の窃取、接続可能なデータの読み取りやエクスポートまで行われる可能性があります。

Metabaseは、自社のクラウド環境「Metabase Cloud」が当時未知だった脆弱性を利用した攻撃を受けたことで問題を発見しました。つまり、修正版公開前から実際の攻撃に使われていたゼロデイ脆弱性です。Metabase自身が実悪用を確認しており、米国CISAも8月11日に既知の悪用が確認された脆弱性カタログ(Known Exploited Vulnerabilities:KEV)へ追加しました。

共通脆弱性評価システム(Common Vulnerability Scoring System:CVSS) v3.1の基本値は10.0(Critical)で、ネットワーク経由、攻撃複雑性は低、認証不要、利用者操作不要と評価されています。さらに概念実証(Proof of Concept:PoC)コードとみられる情報も公開されているため、Metabaseを自己管理している組織は早急な更新と侵害確認が必要です。

CVE-2026-72898の概要

米国国立脆弱性データベース(National Vulnerability Database:NVD)では、CVE番号付与機関(CVE Numbering Authority:CNA)としてCISAを明記し、CISAによるCVSS v3.1 10.0とCVSS v4.0 10.0の評価を掲載しています。共通脆弱性タイプ一覧(Common Weakness Enumeration:CWE)ではSQLインジェクションを示すCWE-89に分類されています。

CVSS v3.1のベクトルはAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hです。インターネットなどネットワーク経由から、事前の認証や利用者操作なしで悪用可能と評価され、機密性・完全性・可用性のすべてに高い影響が想定されています。

Metabase Cloudへのゼロデイ攻撃から発覚

Metabaseが8月6日に公開した公式説明によると、同社はMetabase Cloudに対する攻撃を調査する過程で、それまで未知だったゼロデイ脆弱性がバージョン58以降に存在することを確認しました。

Metabaseは攻撃に使われた処理を直ちに遮断した後、脆弱性を特定して修正しました。Metabase Cloudの利用者については、Metabase側ですでに更新と修正が実施されています。

一方、自社サーバーやクラウド基盤などへMetabaseをインストールして運用する自己管理(Self-hosted)環境では、管理者自身が更新しなければ脆弱なバージョンが残ります。そのため今回の緊急対応は、主に自己管理環境の利用者が対象です。

JPCERT/CCも8月14日の注意喚起で、Metabaseによるゼロデイ攻撃の確認に加え、海外の複数組織が被害を公表していると説明しています。さらに2026年8月2日時点ですでに悪用されていたとの情報や、PoCコードとみられる情報も確認しているとして、早急な対策を求めています。

ただし、現時点でMetabaseやJPCERT/CCは、攻撃者の具体的なグループ名や国家との関係、侵害された全組織数を公表していません。そのため、本記事では特定の脅威アクターによるキャンペーンとは断定しません。

影響を受けるバージョン

JPCERT/CCとMetabaseの8月6日時点の案内では、Metabase 58系から63系が対象で、CVE-2026-72898を修正した最低バージョンは次のとおりです。

Metabaseは58系より前のバージョンについて、CVE-2026-72898の影響を受けないとしています。

ただし、現在の対応ではこの表だけを見て「最低修正版まで上げれば終了」とすることは推奨しません。Metabaseは8月12日、今回のセキュリティインシデントを受けた追加調査を踏まえ、アプリケーションプログラミングインターフェース(Application Programming Interface:API)の強化や関連する問題の修正を含む新しいセキュリティ強化版を公開しています。

8月12日にさらに新しいセキュリティ強化版を公開

Metabaseは8月12日、「Security-focused Metabase Release Announcement」を公開し、今回の脆弱性から派生する問題への対応やAPIの強化など、複数のセキュリティ改善を盛り込んだバージョンを提供しました。

Metabaseはこの更新について即時アップグレードを強く推奨しています。8月14日時点で同社が案内している各系列の最低セキュリティ強化版は次のとおりです。

ここは区別が重要です。0.63.5などはCVE-2026-72898そのものを修正した最低バージョンですが、0.63.10などはその後の追加セキュリティ改善も含む新しいリリースです。

したがって、これから更新する組織は古い「CVE修正版」を目標にするのではなく、利用している系列で現在提供されている最新のセキュリティ更新版へアップグレードする方が適切です。

Metabaseは、予定していた次期機能リリースを一時的に後回しにし、当面はセキュリティと可観測性を重視した週次のマイナーリリースへ注力すると説明しています。内部・外部の調査は継続中で、追加情報があれば更新するとしています。

CISA KEVへ追加、対応期限は8月14日

CISAは2026年8月11日、CVE-2026-72898をKEVへ追加しました。

KEVは、単に深刻度が高い脆弱性を並べた一覧ではなく、実際の攻撃で悪用されていることをCISAが確認した脆弱性を収録するカタログです。米国連邦政府機関には、2026年6月10日にBOD 22-01などを置き換えた拘束的運用指令(Binding Operational Directive:BOD) 26-04に基づく、リスク優先の脆弱性対応が求められます。

CVE-2026-72898についてCISAがKEVで示している対応期限は2026年8月14日です。NVDのKEV欄でも、BOD 26-04のガイダンスに従って緩和策を適用するよう明記されています。JPCERT/CCが日本向けの専用注意喚起を公開した日と同日になります。

民間企業や日本国内組織にこのCISA期限がそのまま法的義務として適用されるわけではありません。しかし、実悪用済みでCVSS 10.0、認証不要、PoC情報も存在することから、通常の定期パッチサイクルを待つ題材ではありません。

更新だけで対応を終えてはいけない

今回のCVEで特に重要なのは、脆弱なMetabaseをインターネットからアクセス可能にしていた場合、パッチ適用だけで対応を終了しないことです。

Metabaseは、影響を受けるパスワードリセット関連APIが外部公開されていた場合、更新後に侵害有無を調査するよう明示しています。

確認された攻撃には特徴的なアクセスの並びがあり、JPCERT/CCもMetabaseの情報を基に、パスワードリセット関連APIへの特定の失敗応答の直後に、現在のユーザー情報を取得するAPIへの成功応答が続くパターンを確認するよう案内しています。

本記事では攻撃再現に利用される具体的なリクエスト内容やSQL文、PoCの実行方法は掲載しません。管理者はMetabase公式およびJPCERT/CCの注意喚起に記載されたログ確認方法を参照し、自組織のMetabaseアプリケーションログやリバースプロキシ、ロードバランサーなどのアクセスログを調査してください。

Metabaseは、このアクセスパターンが確認された場合、対象インスタンスが侵害されている可能性が高いとしています。

侵害の可能性がある場合に必要な対応

脆弱性を修正しても、すでに攻撃者が取得したセッションやAPIキー、データベース認証情報が自動的に無効化されるわけではありません。

Metabaseは、影響を受けるAPIを外部公開していた環境について、すべてのアクティブなユーザーセッションを無効化し、APIキーに不審なものがないか確認し、管理者アカウントに想定外の変更がないか確認するよう求めています。

特に重要なのが、Metabaseへ登録している接続先データベースの認証情報の変更です。攻撃者がMetabaseの管理者権限を取得していた場合、保存済みの接続情報が窃取された可能性を考慮する必要があります。

そのため、Metabaseだけを調査して終わらず、接続先のデータウェアハウスやデータベース側の監査ログも確認してください。不審なクエリ、通常とは異なる時間帯や送信元からの接続、大量データの読み取りやエクスポートなどがないか確認します。

Metabase自身のアクティビティ履歴やクエリ履歴についても、不審な管理操作やデータアクセスがないか確認する必要があります。

直ちに更新できない場合の一時的な回避策

Metabaseは、すぐに更新できない場合の一時的な回避策として、CVE-2026-72898の影響を受けるパスワードリセット用APIエンドポイントへのアクセスを遮断するよう案内しています。

公式アドバイザリで示されている対象は「/api/session/reset_password」です。Webアプリケーションファイアウォール(Web Application Firewall:WAF)、リバースプロキシ、ロードバランサー、ネットワーク機器などで外部からのアクセスを遮断します。

ただし、これは恒久対策ではありません。Metabase自身も「一時的な回避策」としており、可能になり次第、利用中の系列で提供されている最新のセキュリティ更新版へ移行してください。

また、エンドポイントを遮断した時点より前に侵害されていた可能性は残るため、外部公開履歴がある場合はログ調査と認証情報の見直しも必要です。

管理者が優先して実施すべきこと

1.現在のMetabaseバージョンを確認する

自己管理環境では、まず現在使用しているMetabaseの系列とポイントリリースを確認してください。58系から63系を利用している場合はCVE-2026-72898の対象になり得ます。

2.最新のセキュリティ更新版へアップグレードする

8月6日に公開されたCVE-2026-72898の最低修正版より、8月12日に公開された追加セキュリティ改善版を優先してください。Metabase自身も即時アップグレードを強く推奨しています。

3.インターネット公開の有無を確認する

Metabase全体を直接インターネット公開していない場合でも、リバースプロキシや外部公開用ロードバランサーなどを経由して脆弱なAPIへ到達できなかったか確認してください。

4.公開されていた場合は侵害調査を行う

Metabaseおよびネットワーク機器のログを確認し、公式が示す攻撃パターンがないか調査してください。該当するログがある場合や、不審な管理者アカウント、APIキー、データアクセスが確認された場合は、通常の脆弱性対応ではなくインシデント対応へ移行します。

5.接続先DBの認証情報を変更する

侵害の可能性がある場合、Metabaseのパスワードだけを変更しても不十分です。Metabaseに保存していたデータベース接続用の認証情報をローテーションし、データベース側の監査ログも確認してください。

今回のニュースで誤解しやすい点

第一に、CVE-2026-72898は研究段階だけの脆弱性ではありません。Metabase自身がMetabase Cloudへのゼロデイ攻撃を確認し、CISA KEVにも登録されています。

第二に、Metabase Cloudと自己管理環境では対応が異なります。CloudはMetabase側で更新済みですが、自己管理環境は管理者自身による更新が必要です。

第三に、0.63.5などのバージョンはCVE-2026-72898の最低修正版ですが、8月12日にはさらに新しいセキュリティ強化版が公開されています。現在更新する場合は後者を優先してください。

第四に、パッチを適用しただけでは過去の侵害を取り消せません。外部公開していた環境ではセッション、APIキー、管理者アカウント、接続先DB認証情報、データベースログまで確認する必要があります。

第五に、CVSS 10.0だから危険なのではなく、認証不要でネットワーク経由から悪用でき、実際の攻撃が確認され、接続先データベースまで影響が広がる可能性があるという複数の条件が重なっていることが重要です。

まとめ

CVE-2026-72898は、Metabaseのパスワードリセット関連処理に存在する認証不要のSQLインジェクション脆弱性です。CVSS v3.1は10.0(Critical)で、Metabase管理者権限取得から接続先データベースの認証情報窃取、データ読み取り・エクスポートまでつながる可能性があります。

Metabase自身がMetabase Cloudへのゼロデイ攻撃で問題を発見しており、CISAは8月11日にKEVへ追加、JPCERT/CCも8月14日に専用注意喚起を公開しました。研究上の可能性ではなく、すでに実悪用が確認されている脆弱性です。

自己管理しているMetabaseは、8月6日の最低修正版だけでなく、8月12日に追加公開されたセキュリティ強化版を含む最新リリースへ更新してください。

また、脆弱なAPIがインターネットから到達可能だった環境では、更新だけで対応を終了せず、ログ調査、ユーザーセッション無効化、APIキーと管理者アカウントの確認、接続先データベース認証情報の変更、データウェアハウス側の監査まで実施することが重要です。

参考情報

• Metabase:Security update available for Metabase – Please upgrade now
• Metabase:Security-focused Metabase Release Announcement
• Metabase GitHub Security Advisory:GHSA-vwf4-m7j8-wcjf
• JPCERT/CC:MetabaseのSQLインジェクションの脆弱性(CVE-2026-72898)に関する注意喚起
• CISA:Known Exploited Vulnerabilities Catalog
• NVD:CVE-2026-72898