オープンソースBIツール「Metabase」にCVSSスコア10.0のSQLインジェクション脆弱性、対策済み最新版への更新を呼びかけ

オープンソースのBIツール「Metabase」に、CVSSスコア10.0（緊急／最大深刻度）と評価されたSQLインジェクションの脆弱性が報告された。脆弱性はすでに公表済みで、Metabase社から対策済みバージョンが提供されており、利用者には修正版を含む最新バージョンへ更新するよう呼びかけられている。

事案の詳細

今回取り上げられたのは、オープンソースのBIツール「Metabase」に存在するSQLインジェクション脆弱性に関する情報である。本脆弱性にはCVE-2026-72898が付与されており、CVSS v3.1の基本値が10.0と評価されていることから、緊急度が最も高いカテゴリに位置付けられている。

脆弱性は、Metabaseのパスワードリセット関連のAPIエンドポイント/api/session/reset_passwordにおける入力処理に問題があり、認証されていない攻撃者がアプリケーションデータベースに対して任意のSQLを注入できる可能性があるとされている。その結果、Metabaseの管理者権限を不正に取得される、接続されているデータベースの情報を窃取されるなど、深刻な被害につながるおそれがある。

Metabase社は2026年8月上旬に本脆弱性の存在を公表し、あわせて修正版を含む複数のバージョンライン向けの更新版を提供している。記事では、Metabaseを自社環境でセルフホスト（オンプレミスやクラウド上で自前運用）している利用者に対し、運用中バージョンが脆弱性の影響を受ける範囲に該当するかを確認した上で、速やかに対策済みバージョンへ更新するよう促している。

元記事の内容は、利用者に対し「対策済みの最新バージョンに更新」を促す点に主眼が置かれている。したがって、Metabaseを運用している組織・担当者は、利用中のバージョンを確認し、更新によって対策状況を整える必要がある。また、ゼロデイとして悪用された事例が海外で報告されていることから、外部からアクセス可能な環境でMetabaseを運用している場合は特に、早急な対応が推奨される。

影響と背景

Metabaseは、データ分析やダッシュボード表示などに利用されるBIツールであり、社内外の各種データベースと接続して可視化を行う用途で広く用いられている。そのため、Metabase自体が侵害された場合、接続されているデータベースの認証情報や格納データが一括して危険にさらされる可能性がある。

今回の脆弱性は、CVSSスコアが最大値の10.0と評価されていることに加え、認証不要で悪用可能、攻撃の難易度が低い、機密性・完全性・可用性に高い影響を与えるといった特徴を持つ。そのため、インターネットからアクセス可能なMetabaseインスタンスが狙われた場合、攻撃者による不正ログインや設定改ざん、ダッシュボードやレポートに利用されているデータの窃取・破壊など、業務への影響が甚大になるおそれがある。

海外のレポートでは、本脆弱性を悪用した攻撃により、複数企業でMetabase経由の侵害が発生し、接続されていたデータベース認証情報の漏えいが確認された事例も報告されている。Metabaseをセルフホストで運用している組織では、バージョンによっては攻撃を受けるリスクが高い状態が続いている可能性があるため、記事では「火急のパッチ適用イベント」に相当する状況として、迅速な更新対応を求めている。

Metabase社が公表した情報や各種脆弱性データベースの記載から、脆弱性の影響範囲には複数のメジャーバージョンラインが含まれており、特定のバージョン以降を利用している環境が対象となることが示されている。一方、詳細な影響バージョン（例：何番台以上／以下が該当するか）や、各ラインごとの修正版の具体的なバージョン番号については記事中では列挙されていないため、「詳細は現時点で不明」としている。

対策・今後の展望

• 利用中のMetabaseのバージョンを確認する：まず現行バージョンを把握し、脆弱性の影響を受ける範囲かどうか、および対策済みの最新版かどうかを点検する。Metabase社が公表しているセキュリティ情報やリリースノートを参照し、自社の運用バージョンがCVE-2026-72898の影響を受けるかどうかを確認することが重要である。
• 最新版へ更新する：本脆弱性はすでに対策済みとされており、Metabase社から各バージョンライン向けに修正版が提供されている。利用しているラインに対応した最新版（セキュリティ修正を含むバージョン）へ更新することで、脆弱性の影響を低減できる。なお、具体的な修正済みバージョン番号については記事中では明記されておらず、詳細は現時点で不明であるため、公式情報に基づく確認が必要となる。
• 更新後に動作確認を行う：更新により環境が変化するため、業務で使う範囲の基本機能が問題なく動くかを確認し、運用を安定させる。具体的には、ログイン画面の表示、ダッシュボードの閲覧、レポート作成・配信、既存クエリの実行、接続しているデータベースへのアクセスなど、主要な利用シナリオを一通り確認することが望ましい。問題がないことを確認した上で、本番運用に戻す。
• インターネットからのアクセス制御を見直す：Metabaseをインターネットから直接アクセス可能な形で公開している場合は、VPNやゼロトラスト型のアクセス制御を導入する、IPアドレス制限を設けるなど、外部からの不要なアクセスを抑制することも併せて検討すべきである。脆弱性が修正済みであっても、将来の未知の脆弱性に備える意味で、公開範囲の最小化は有効な対策となる。
• ログの確認とインシデント対応プロセスの整備：すでに脆弱性が悪用されている可能性を踏まえ、Metabaseおよび接続先データベースのアクセスログを確認し、不審なアクセスや管理者権限の不自然な変更がないかを点検することが推奨される。異常が確認された場合に備え、インシデント対応の手順（影響範囲の特定、遮断・封じ込め、証跡保全、復旧、再発防止策の検討）を整備しておくことが望ましい。

CSRIからの現場アドバイス

【現場で何が起きているか】CSRIが支援する中小企業のMDR運用や診断では、業務ツールの「更新待ち」が常態化しがちです。特にBIや業務系のサーバー用途は止めづらく、最新版への更新が後回しとなり、未対策のまま稼働し続けている例が目立ちます。今回のMetabaseのようにCVSSスコアが最大値の脆弱性が公表された場合、更新の先送りがそのまま深刻なインシデントのリスクにつながる点に注意が必要です。

【平易な解説】例えるなら、会社の建物の鍵に「誰でも開けられる欠陥」が見つかったようなものです。つまり、欠陥が直った新しい鍵（最新版）に交換しない限り、危険が残り続けるということです。今回のSQLインジェクション脆弱性は、鍵穴の構造そのものに問題があり、誰でも鍵穴に細工して中に入れてしまう状態に近いといえます。更新はその交換作業に当たり、欠陥を修正した鍵に取り替えることで、外部からの侵入を防ぐことができます。

【今週中にできること】まず担当者がMetabaseのバージョンを確認し、CVE-2026-72898の影響を受ける範囲に含まれるかどうか、最新版かどうかを社内で共有してください。次に、更新作業の日時を決めて実施し、更新後は最低限の画面表示やレポート作成など業務で使う操作を確認して運用に戻す流れにすると現実的です。また、インターネットから直接アクセス可能な環境になっていないか、アクセス制御や公開範囲の見直しも合わせて検討し、必要に応じてログの確認やインシデント対応計画の整備を進めることが望まれます。

参照: オープンソースのBIツール「Metabase」に緊急度10の脆弱性、対策済みの最新バージョンに更新を